<p>Ich weiß, wie man eine Liste einer Zeichenfolge zuordnet: </p> <pre class="brush:php;toolbar:false;">foostring = ",".join( map(str, list_of_ids) )</pre> <p>Ich weiß, dass ich diese Zeichenfolge mit folgendem Befehl in eine IN-Klausel einfügen kann: </p> <pre class="brush:php;toolbar:false;">cursor.execute("DELETE FROM foo.bar WHERE baz IN ('%s')" % (foostring))</pre> <p>Ich muss die gleiche Funktionalität auf sichere Weise in einer MySQL-Datenbank implementieren (ohne SQL-Injection). Da der Footstring im obigen Beispiel nicht als Parameter zur Ausführung übergeben wird, ist er anfällig. Ich muss auch außerhalb der MySQL-Bibliothek zitieren und maskieren. </p> <p> (Es gibt eine verwandte SO-Frage, aber die dort aufgeführten Antworten funktionieren entweder nicht mit MySQL-Datenbanken oder sind anfällig für SQL-Injection-Angriffe.) </p>

ids = [5, 3, ...]  # id列表
cursor.execute('''
SELECT 
...
WHERE
  id IN %(ids)s
  AND created_at > %(start_dt)s
''', {
  'ids': tuple(ids), 'start_dt': '2019-10-31 00:00:00'
})

format_strings = ','.join(['%s'] * len(list_of_ids))
cursor.execute("DELETE FROM foo.bar WHERE baz IN (%s)" % format_strings,
                tuple(list_of_ids))