往 MySQL 里存入时间 "2018-05-16 23:28:13" 总是报错 ProgrammingError: (1064, ... 是什么格式有误吗？

login_time = "2018-05-16 23:28:13"
cursor.execute("insert into user_logs (user_id, login_time)  values (%s, %s)" % \
                       (int(user_id), login_time))

出错提示（ MySQL5.5)：

_mysql_exceptions.ProgrammingError: (1064, "You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '23:28:13)'  at line 1")

MySQL

23:28:13

login_time

syntax

7 replies • 2019-02-02 12:15:05 +08:00

akiakiseofficial

Feb 1, 2019 via iPhone

引号问题吧，第二个 %s 用引号包起来

hly9469

Feb 1, 2019

login_time = "2018-05-16 23:28:13"
cursor.execute("insert into user_logs (user_id, login_time) values (%s, '%s')" % \
(int(user_id), login_time))

raptium

Feb 1, 2019

```
cursor.execute("insert into user_logs (user_id, login_time) values (%s, %s)", (int(user_id), login_time))
```
这样应该可以了吧。
不要自己通过字符串格式化的方式填充参数生成 SQL，这样除了容易拼错引号之类的导致语法错误外还很容易引入 SQL 注入漏洞。

xpresslink

Feb 2, 2019

楼主最好不要这么写，很容易被 SQL 注入，应该用参数化方式, 那个 int （）转换也是多余的。
直接写成下面这样就可以了。

cursor.execute("insert into user_logs (user_id, login_time) values (%s, %s)", (user_id, login_time))

dorothyREN

Feb 2, 2019

你可以把 sql 语句打出来看看，vules 没有引号的话貌似会报语法错误。昨天刚碰到这个问题。最后加了个转义符搞定。

dorothyREN

Feb 2, 2019

@dorothyREN sql = "insert into trade_info(trade_no,trade_time,info,income,balance,source) values (\'{trade_no}\',\'{trade_time}\',\'{info}\',\'{income}\',\'{balance}\',\'{source}\')".format(trade_no=trade_no,trade_time=str(trade_time), info=str(info), income=str(income), balance=str(balance),source=str(source))

miniyao

Feb 2, 2019

@xlui
@hly9469
@raptium
@xpresslink
@dorothyREN
我应该是某个地方格式写错了，谢谢楼上同学，用字符串加''和传参的方式都可以。