Énigme de substitution de paramètres SQLite

Pour tenter de se protéger contre les injections SQL, un développeur a rencontré une erreur lors de l'utilisation de SQLite3 avec Python 2.5. Lorsque vous utilisez le « ? » recommandé. substitution de paramètres pour empêcher les injections, ils ont été confrontés au dilemme suivant :

sqlite3.ProgrammingError: Incorrect number of bindings supplied. The current statement uses 1, and there are 8 supplied.

Ce problème semble provenir de la création initiale de la base de données, qui contenait huit liaisons. Cependant, l'utilisation de la substitution "%s" moins sécurisée pour chaque nom d'élément a résolu le problème.

for item in self.inventory_names:
    self.cursor.execute("SELECT weight FROM Equipment WHERE name = '%s'" % item)
    self.cursor.close()

La solution à cette perplexité réside dans la compréhension que la méthode Cursor.execute() nécessite une séquence comme deuxième paramètre. Dans ce cas, le développeur fournissait une chaîne comportant huit caractères. Pour remédier à cela, la modification de code suivante doit être implémentée :

self.cursor.execute("SELECT weight FROM Equipment WHERE name = ?", [item])

En vous conformant à ce paramètre spécification, le problème peut être résolu efficacement, permettant une récupération de données sécurisée et efficace à partir de SQLite3.