如何在 Python 中的 SQL 语句中使用变量? [英] How to use variables in SQL statement in Python?

问题描述

好的，所以我在 Python 方面没有那么有经验.

Ok so I'm not that experienced in Python.

我有以下 Python 代码:

I have the following Python code:

cursor.execute("INSERT INTO table VALUES var1, var2, var3,")

其中 var1 是一个整数，var2 &var3 是字符串.

where var1 is an integer, var2 & var3 are strings.

如何在没有 python 的情况下编写变量名，将它们作为查询文本的一部分?

How can I write the variable names without python including them as part of the query text?

推荐答案

cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))

注意参数是作为元组传递的.

Note that the parameters are passed as a tuple.

数据库 API 会正确地转义和引用变量.注意不要使用字符串格式化操作符 (%)，因为

The database API does proper escaping and quoting of variables. Be careful not to use the string formatting operator (%), because

1. 它不做任何转义或引用.
2. 它容易受到不受控制的字符串格式攻击，例如SQL 注入.

这篇关于如何在 Python 中的 SQL 语句中使用变量?的文章就介绍到这了，希望我们推荐的答案对大家有所帮助，也希望大家多多支持IT屋！