0

hola empeze a hacer un curso de python con sqlite3 y quiero modificarlo para que el usuario introduzca variables y esas variables se guarden en la tabla supuestamente tendria que introducir nombre,apellido,ultimopago,meses que debe y total que debe en un input y despues eso pasarlo a la base les dejo el codigo, supuestamente tengo entendido que para añadir variables es '" +variable+"' Gracias `` #SQLite

import sqlite3

conexion= sqlite3.connect("basededatos1.db")
cursor=conexion.cursor()

nombre= str(input("Ingrese el nombre del cliente: "))
apellido= str(input("Ingrese apellido del cliente: "))
ultimopago= str(input("Ingrese el ultimo mes pago del cliente: "))
mesdebe= str(input("Ingrese meses que debe o 0: "))
totalpesos= int(input("Ingrese total que debe: "))

cursor.execute("INSERT INTO CLIENTES VALUES('" + nombre + "', '"  + apellido + "', '" + ultimopago + "', '" + mesdebe + "', '" + totalpesos + "')")



conexion.commit()
conexion.close()

1
  • ¿Y cuál es la pregunta? Puedes introducir los datos tal como lo estas poniendo. No tienes que convertir a str() lo que viene de un input(), porque ya viene de esa forma. Con Python 3.6+, una forma más sencilla de escribir la consulta puede ser empleando f-strings
    – aeportugal
    el 18 abr. 2020 a las 19:57

2 respuestas 2

1

Nunca , nunca, pero nunca uses concatenado de cadenas (foo + bar) o formateo de cadenas de Python (f"{foo}, {bar}", "{}, {}".format(foo, bar), etc) para componer una query a no ser para cosas no parametrizables como el nombre de la tabla. Como mínimo es una mala práctica si se trata de un proyecto con fines personales o puede ser una bomba con la mecha muy corta si se hace algo así en una aplicación web expuesta a todo el mundo...

Al hacer lo anterior, especialmente cuando dichas cadenas vienen como entrada de un usuario sin previamente ser filtradas y saneadas, expones a tu base de datos a ataques de inyección de código. Para las cosas no parametrizables combinen también sanear los inputs antes si cabe la posibilidad de generar algún peligro.

Paramatriza la query:

cursor.execute(
    "INSERT INTO CLIENTES VALUES(?, ?, ?, ?, ?)",
    (nombre, apellido, ultimopago, mesdebe , totalpesos)
    )

El placeholder ? puede variar en otras BD y conectores, por ejemplo por %s. Además puedes usar placehoders con nombre, en cuyo caso pasa un diccionario con los parámetros.

Un ejemplo reproducible mostrando su uso:

import sqlite3

con = sqlite3.connect(":memory:")
cur = con.cursor()
cur.execute("CREATE TABLE alumnos (nombre, edad)")

nombre = "fulanito"
edad = 18

cur.execute("INSERT INTO alumnos VALUES(?, ?)", (nombre, edad))
cur.execute(
    "SELECT * FROM alumnos WHERE nombre=:nombre_alumno AND edad=:edad_alumno",
    {"nombre_alumno": nombre, "edad_alumno": edad}
    )
print(cur.fetchone())

cur.executemany(
    "INSERT INTO alumnos VALUES(?, ?)",
    (("Pepe", 23), ("María", 18))
    )
cur.execute("select * from alumnos where edad=?", (18,))
print(cur.fetchall())
1
  • gracias me va a venir muy bien aprender las buenas formas de la programacion te agradezco y seguire practicando no tenia idea de eso el 18 abr. 2020 a las 23:52
0

Puedes probar este código.

import sqlite3

connection_db=sqlite3.connect("basededatos1.db") # INICIAR LA CONEXIÓN A LA DB
tables_connection_db=connection_db.cursor() 

#CREAR TABLA
tables_connection_db.execute("""CREATE TABLE USUARIOS_TABLE_DB 
   (id_usuario_db INTEGER PRIMARY KEY AUTOINCREMENT, nombre_db text, 
   apellido_db text, ultimopago_db text, mesdebe_db text, totalpesos_db real)""")
connection_db.commit() # GUARDAR TABLA CREADA


#INTRODUCIR DATOS DE USUARIO 
nombre= str(input("Ingrese el nombre del cliente: "))
apellido= str(input("Ingrese apellido del cliente: "))
ultimopago= str(input("Ingrese el ultimo mes pago del cliente: "))
mesdebe= str(input("Ingrese meses que debe o 0: "))
totalpesos= int(input("Ingrese total que debe: "))

# AGREGAR A LA BASE DE DATOS EL NUEVO REGISTRO


tables_connection_db.execute("""INSERT INTO USUARIOS_TABLE_DB  
   VALUES (NULL,"{}", "{}", "{}", "{}","{}");""".format(nombre,apellido,ultimopago,mesdebe,totalpesos))

connection_db.commit() # GUARDAR EL NUEVO REGISTRO

connection_db.close() # CERRAR LA CONEXIÓN A LA DB   



Puedes revisar si se guardo tu registro en la base de datos subiendo tu archivo (basededatos1.db) a esta página de internet.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.