我有以下Python代码：
cursor.execute("INSERT INTO table VALUES var1, var2, var3,")
where var1是一个整数，var2 and var3是字符串。
如何在不使用 Python 将变量名称作为查询文本的一部分的情况下编写变量名称？
cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))
请注意，参数作为元组传递，(a, b, c)。如果您传递单个参数，则元组需要以逗号结尾，(a,).
数据库 API 对变量进行正确的转义和引用。请注意不要使用字符串格式化运算符 (%）， 因为
- 它不进行任何转义或引用。
- 它很容易受到不受控制的字符串格式攻击，例如SQL注入.
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
