Python の SQL ステートメントで変数を使用するにはどうすればよいですか?
P粉200138510
2023-08-20 17:35:10
<p>次の Python コードがあります: </p>
<pre class="brush:py;toolbar:false;">cursor.execute("INSERT INTO table VALUES var1, var2, var3,")
</pre>
<p>ここで、<code>var1</code>は整数、<code>var2</code>および<code>var3</code>は文字列です。 </p>
<p>クエリ テキストに変数名を含めずに Python で変数名を記述するにはどうすればよいですか? </p>
![[Web フロントエンド] Node.js クイック スタート](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
Python DB-API の実装が異なると、使用できるプレースホルダーも異なるため、どのプレースホルダーを使用しているかを確認する必要があります。たとえば (MySQLdb を使用):
リーリーまたは (Python 標準ライブラリの sqlite3 を使用):
リーリーまたはその他 (
VALUESの後には(:1, :2, :3)または「名前付きスタイル」(:fee, :fie , :fo)または(%(fee)s, %(fie)s, %(fo)s)、executeディクショナリの 2 番目のパラメータに 1 を渡します。地図）。使用している DB API モジュールのparamstyle文字列定数を確認し、 http://www.python.org/dev/peps/pep-0249/ で paramstyle を探します。すべてのパラメータの受け渡しスタイルについて学びましょう。リーリー
パラメータはタプル
(a, b, c)として渡されることに注意してください。パラメーターを 1 つだけ渡す場合、タプルはコンマ(a,)で終わる必要があります。データベース API は変数を適切にエスケープし、引用符で囲みます。文字列フォーマット演算子 (
%) は使用しないように注意してください。エスケープや引用は行いません。-
SQL インジェクション - など、制御できない文字列フォーマット攻撃に対して脆弱です。