在Python中如何利用變數執行SQL語句

Question

我有以下的Python程式碼：

cursor.execute("INSERT INTO table VALUES var1, var2, var3,")

其中var1是整數，var2和var3是字串。

我該如何在不讓Python將它們作為查詢文字的一部分的情況下寫入變數名稱？

Answer 1

不同的Python DB-API實作允許使用不同的佔位符，所以你需要找出你正在使用的是哪種佔位符 -- 例如（使用MySQLdb）：

cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))

或（使用Python標準函式庫中的sqlite3）：

cursor.execute("INSERT INTO table VALUES (?, ?, ?)", (var1, var2, var3))

或其他方式（在VALUES之後，你可以使用(:1, :2, :3)，或使用"named styles" (:fee, :fie, :fo) 或(%(fee)s, %(fie)s, %(fo)s)，在這種情況下，你需要將一個字典作為第二個參數傳遞給execute函數）。檢查你正在使用的DB API模組中的paramstyle字串常數，並查看http://www.python.org/dev/peps/pep-0249/上的paramstyle ，了解所有的參數傳遞方式！

Answer 2

cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))

請注意參數是作為一個元組傳遞的，(a, b, c)。如果您只傳遞一個參數，元組需要以逗號結尾，(a,)。

資料庫API會對變數進行適當的轉義和引用。請注意不要使用字串格式化運算子（%），因為

1. 它不會進行任何轉義或引用。
2. 它容易受到無法控制的字串格式攻擊，例如SQL注入。