3

En mi programa uso una lista para subir registros a una base de datos, pero al utilizar el método .execute me da un OperationalError.

La tabla es la siguiente:

def conectar():
    global db
    db = sqlite3.connect("usuarios.db")
    cursor = db.cursor()

        cursor.execute('''
        CREATE TABLE DATOSUSUARIOS (
            ID INTEGER PRIMARY KEY AUTOINCREMENT,
            NOMBRE VARCHAR(20), 
            APELLIDOS VARCHAR(20),
            CONTRASEÑA VARCHAR(20),
            DIRECCION VARCHAR(20)
            )
        ''')

La función que da error:

def crear(data):

        cursor = db.cursor()
        cursor.execute("INSERT INTO DATOSUSUARIOS VALUES ({},{},{},{},{})".format("NULL",data[1],data[2], data[3], data[4]))
        db.commit()

el input que recibe la función:

data = ["1","juan","1234","zuluaga","calle 5"]

el error que obtengo:

Traceback (most recent call last):
  File "C:\Users\Juan José\AppData\Local\Programs\Python\Python38-32\lib\tkinter\__init__.py", line 1883, in __call__      
    return self.func(*args)
  File "c:\Users\Juan José\Documents\trabajos colegio\python\proyecto\main.pyw", line 91, in crear
    db.crear(datos)
  File "c:\Users\Juan José\Documents\trabajos colegio\python\proyecto\db.py", line 31, in crear
    cursor.execute("INSERT INTO DATOSUSUARIOS VALUES ({},{},{},{},{})".format("NULL",data[1],data[2], data[3], data[4]))   
sqlite3.OperationalError: no such column: juan

Gracias de antemano.

1 respuesta 1

3

El error se da porque faltan comillas en los campos textuales (varchar):

Podrías cambiar tu sentencia a:

        cursor = db.cursor()
        cursor.execute("INSERT INTO DATOSUSUARIOS VALUES ({}, '{}', '{}', '{}', '{}')".format("NULL",data[1],data[2], data[3], data[4]))
        db.commit()

Dicho esto, en general, hablando de SQL, no es lo mismo mandar NULL en el insert de la columna ID, que no incluir la columna en la sentencia insert. Puede que en SQLite esto te funcione (no lo tengo claro realmente), pero en general, es mejor no mandar el valor si tienes una columna auto incremental, con lo cual cambiaría la sentencia a:

        cursor = db.cursor()
        cursor.execute("INSERT INTO DATOSUSUARIOS (NOMBRE, APELLIDOS, CONTRASEÑA, DIRECCION) VALUES ('{}', '{}', '{}', '{}')".format(data[1],data[2], data[3], data[4]))
        db.commit()

Ahora, el problema de la concatenación y el riesgo de la inyección SQL. Lo más recomendable no es concatenar valores textuales en nuestras sentencias. Como puedes observar, la sentencia se va a romper si una de las cadenas lleva un apóstrofo, por ejemplo, si la dirección fuera: `Calle d'oro #123'. Esto hace que tu software sea poco robusto.

Y no solo es poco robusto, sino que es vulnerable a la inyección SQL. La solución es utilizar SQL parametrizado, con lo cual tu sentencia luciría así:

def crear(data)
    sql = ''' INSERT INTO DATOSUSUARIOS (NOMBRE, APELLIDOS, CONTRASEÑA, DIRECCION)
              VALUES(?,?,?,?) '''
    cur = db.cursor()
    cur.execute(sql, data)
    db.commit()

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.