### 正确执行SQL语句并处理返回值 当使用Python操作MySQL数据库时，为了安全有效地执行SQL命令，推荐采用参数化查询来预防SQL注入攻击。对于插入操作而言，可以利用问号或百分号格式化的字符串作为占位符，并将实际的数据通过元组或者字典的形式传入`execute()`函数中[^3]。 下面是一个具体的例子展示如何正确地构建和执行带有参数的SQL语句： ```python import pymysql connection = pymysql.connect( host="localhost", user="testuser", password="test123", database="TESTDB" ) with connection.cursor() as cursor: # 定义带占位符的SQL语句 sql = """ INSERT INTO EMPLOYEE (FIRST_NAME, LAST_NAME, AGE, SEX, INCOME) VALUES (%s, %s, %s, %s, %s); """ # 数据项组成的列表/元组 data = ('Mac', 'Mohan', 20, 'M', 2000) try: # 执行SQL语句并将data中的值填入到对应的%s位置上 affected_rows = cursor.execute(sql, data) # 提交更改至数据库 connection.commit() print(f"{affected_rows} row(s) inserted.") except Exception as e: print(e) # 如果发生异常则回滚事务 connection.rollback() finally: # 不论成功与否都要关闭连接 connection.close() ``` 上述代码片段展示了如何创建一个包含五个字段的新记录，并将其添加到名为EMPLOYEE的表里；同时演示了怎样捕获可能发生的错误以便及时采取措施（比如调用`rollback()`来回退未完成的操作），最后无论是否发生了异常都会确保断开与服务器之间的链接[^1]。 关于`execute()`方法本身，它会尝试运行所提供的SQL指令，并且如果涉及到修改数据的话，则通常还会返回受影响行数的信息。然而，在某些情况下也可能返回None或其他类型的对象取决于所使用的库版本及其配置选项。因此建议查阅官方文档获取最准确的行为描述。 #### 处理查询结果集 除了插入之外，还可以使用同样的方式来进行其他类型的操作，例如检索信息。此时可以通过迭代游标的fetchone(), fetchall()等接口访问查询的结果集合。这里给出一段简单的读取全部用户的示范代码： ```python with connection.cursor() as cursor: sql = "SELECT * FROM `users`;" cursor.execute(sql) results = cursor.fetchall() for row in results: print(row) ``` 这段脚本将会打印出所有来自`users`表格里的条目。值得注意的是，这里的`results`变量保存着由多行构成的一个序列，每一条代表一行完整的列值组合[^2]。