你的代码整体逻辑是正确的，但存在**多个关键错误和安全隐患**，主要集中在以下几个方面： --- ### ✅ **主要问题分析：** 1. **未处理异常（`try/except` 缺失）** `mysql.connector.connect()` 和 `cursor.execute()` 等操作极易因网络、权限、SQL语法、连接中断等原因抛出 `Error` 异常，当前代码无任何异常捕获，一旦失败会直接崩溃，且连接/游标未关闭，导致资源泄漏。 2. **日期字符串 `"26-03-05"` 格式不合法（MySQL 无法自动识别为 DATE）** MySQL 的 `DATE` 类型要求标准格式为 `'YYYY-MM-DD'`（如 `'2026-03-05'`）。你传入 `"26-03-05"`（两位年份），MySQL 可能解析为 `2026-03-05`（依赖 SQL mode），但更大概率报错或存入 `0000-00-00`（尤其在严格模式下），属于**严重数据错误风险**。 3. **`money` 字段类型与传入值不匹配** 若数据库中 `money` 是 `DECIMAL` 或 `FLOAT` 类型（合理），传入字符串 `"50"` 虽可隐式转换，但**强烈不推荐**。应传入数值类型（如 `50.0` 或 `50`），避免精度/类型歧义。 4. **未关闭数据库连接和游标（资源泄漏）** `conn.cursor()` 创建的游标和 `connection` 对象必须显式 `.close()`，否则长期运行会耗尽连接池。 5. **缺少参数校验 & SQL 注入虽被参数化避免，但输入未清洗** 当前用 `%s` 占位符 + 元组传参 ✅ 已防止 SQL 注入，但 `day` 和 `money` 仍需业务层校验（如日期合法性、金额非负等）。 6. **`add()` 函数未返回结果，调用方无法判断是否真成功** `execute()` 和 `commit()` 成功不代表插入成功（例如唯一键冲突时会抛异常，但若没捕获就崩了）；建议增加返回值或异常传播。 --- ### ✅ **修复后的健壮版代码（含详细注释）：** ```python import mysql.connector from mysql.connector import Error from datetime import datetime def connect_db(): """安全连接数据库，带异常处理和连接验证""" try: connection = mysql.connector.connect( host="10.132.226.59", user="root", password="root", database="yuyu", port=3306, # 建议添加：连接超时、重连等选项 connection_timeout=10, autocommit=False # 手动控制事务，避免意外自动提交 ) if connection.is_connected(): print("✅ 连接数据库成功") return connection else: print("❌ 数据库连接对象已创建但未激活") return None except Error as e: print(f"❌ 连接数据库失败: {e}") return None def add(cursor, connection, day, money): """ 向 Zcheck 表插入一条记录 :param cursor: 数据库游标 :param connection: 数据库连接 :param day: 字符串，格式必须为 'YYYY-MM-DD'（如 '2026-03-05'） :param money: 数值类型（int/float），表示金额 :return: bool，True 表示插入成功，False 表示失败 """ # ✅ 1. 输入校验 if not isinstance(day, str) or not isinstance(money, (int, float)): print("❌ 输入错误：day 必须是字符串，money 必须是数字") return False # ✅ 2. 日期格式校验（强制 YYYY-MM-DD） try: # 尝试解析为 date 对象，确保合法且标准化 parsed_date = datetime.strptime(day, "%Y-%m-%d").date() # 此处 day 已确认为标准格式，可安全用于 SQL except ValueError: print(f"❌ 日期格式错误：期望 'YYYY-MM-DD'，得到 '{day}'") return False if money < 0: print("❌ 金额不能为负数") return False # ✅ 3. 安全执行插入（参数化防止 SQL 注入） query = "INSERT INTO Zcheck(day, money) VALUES(%s, %s)" try: cursor.execute(query, (parsed_date, money)) # 注意：传入的是 date 对象，不是字符串！ connection.commit() # 提交事务 print(f"✅ 添加成功：日期={parsed_date}, 金额={money}") return True except Error as e: connection.rollback() # 发生错误时回滚 print(f"❌ 插入失败: {e}") return False except Exception as e: # 捕获非 MySQL 错误（如编程错误） connection.rollback() print(f"❌ 未知错误: {e}") return False def close_connection(conn, cursor): """安全关闭连接和游标""" if cursor and cursor.is_connected(): cursor.close() print("✅ 游标已关闭") if conn and conn.is_connected(): conn.close() print("✅ 数据库连接已关闭") if __name__ == '__main__': conn = None cursor = None try: conn = connect_db() if conn is None: exit(1) cursor = conn.cursor() # ✅ 正确调用：使用四位年份 + 数值金额 success = add(cursor, conn, "2026-03-05", 50.0) # ← 关键修复！ if not success: print("⚠️ 数据插入未成功，请检查日志") finally: # ✅ 无论成功失败，都确保资源释放 close_connection(conn, cursor) ``` --- ### ✅ **关键修复点总结：** | 问题 | 修复方式 | |------|----------| | ❌ 日期格式 `"26-03-05"` | → ✅ 改为 `"2026-03-05"` 并用 `datetime.strptime()` 校验+转换为 `date` 对象 | | ❌ `money` 传字符串 `"50"` | → ✅ 改为数值 `50.0` 或 `50`，保证类型一致 | | ❌ 无异常处理 | → ✅ 全局 `try/except` + `rollback()` + `print` 明确错误信息 | | ❌ 连接/游标未关闭 | → ✅ `finally` 块中强制关闭，防泄漏 | | ❌ 无输入校验 | → ✅ 检查类型、日期格式、金额非负 | | ❌ `autocommit=True`（默认）风险 | → ✅ 显式设 `autocommit=False`，手动 `commit`/`rollback` | > 💡 **额外建议**： > - 生产环境**绝不使用 root 用户直连**，应创建专用低权限账号（如 `yuyu_app@'%'`）并限制 IP/权限； > - 密码不应硬编码，应使用环境变量或配置文件（如 `os.getenv("DB_PASSWORD")`）； > - 表 `Zcheck` 的 `day` 字段类型应为 `DATE`，`money` 应为 `DECIMAL(10,2)`；可用 `DESCRIBE Zcheck;` 验证。 ---