在 Python 中安全地將變量插入 SQL 查詢

在 Python 中處理數據庫查詢時，通常需要在查詢語句中包含變量。但是，務必以防止語法錯誤或安全漏洞的方式進行操作。

考慮以下 Python 代碼：

cursor.execute("INSERT INTO table VALUES var1, var2, var3")

在此代碼中，var1 是一個整數，var2 和 var3 是字符串。但是，當 Python 嘗試將名稱 var1、var2 和 var3 作為查詢文本本身的一部分包含在內時，就會出現問題，導致查詢無效。

為了解決這個問題，可以使用數據庫 API 提供的佔位符替換機制。以下是使用佔位符重寫代碼的方法：

cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))

在此改進後的代碼中：

• %s 代表一個要填充值的佔位符。
• (var1, var2, var3) 是一個包含要插入值的元組。

通過將值作為元組傳遞，數據庫 API 會處理必要的變量轉義和引用，確保與數據庫兼容並防止潛在的安全風險。

請注意，對於單個參數，需要一個帶有尾隨逗號的元組：

cursor.execute("INSERT INTO table VALUES (%s)", (var1,))

此外，避免使用字符串格式化運算符 (%) 來插入變量，因為它可能導致安全漏洞，並且數據庫 API 不支持它。