Fügen Sie Variablen in SQL -Anweisungen in Python

In Python ist es bei der Ausführung von SQL -Anweisungen mit Variablen von entscheidender Bedeutung, Variablen korrekt zu bestehen, was potenzielle Injektionsangriffe verhindert und die korrekte Ausführung sicherstellt.

Um Variablen in SQL -Anweisungen einzugeben, verwenden Sie Platzhalter in der Anweisung und übergeben Sie Variablen als Tupel. Betrachten Sie beispielsweise den folgenden Python -Code:

cursor.execute("INSERT INTO table VALUES var1, var2, var3")

wobei var1 eine Ganzzahl ist, sind Var2 und Var3 Zeichenfolgen.

Um Variablen korrekt zu übergeben, verwenden Sie die Ausführungsmethode mit Platzhaltern und Tupeln, die Variablen enthalten:

cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))

Beachten Sie die Verwendung von Platzhaltern (%s) in SQL -Anweisungen und der Klammern um Tupel in Ausführungsmethoden.

Es ist wichtig, die Verwendung des String -Formatierungsoperators (%) zu vermeiden, da er korrekte Flucht und Referenzen umgeht, wodurch Fragen anfällig für SQL -Injektionsangriffe sind.