在python的文档中有大概这样一段描述：
在使用sql语句操纵数据库的时候，不应该直接将字符串连接起来作为sql语句进行查询，因为直接将外部传入的字符串代入到sql语句中就会产生sql注入的问题。
比如下面是一个错误的用法
symbol = 'IBM'
c.execute("... where symbol = '%s'" % symbol)
#错误的用法，会带来sql注入
在实际使用的时候，应该使用数据库API提供的参数替代方法传递外部的参数。也就是常说的“一个萝卜一个坑”。把需要执行的sql参数作为数据库API的某个函数的参数传递进去，这样在API内部就做了对敏感字符的转义工作。
下面是正确的用法：
t = (symbol,)
c.execute('select * from stocks where symbol=?', t)
# Larger example
for t in [('2006-03-28', 'BUY', 'IBM', 1000, 45.00), ('2006-04-05', 'BUY', 'MSOFT', 1000, 72.00), ('2006-04-06', 'SELL', 'IBM', 500, 53.00), ]:
c.execute('insert into stocks values (?,?,?,?,?)', t)
在python中，这种语法的用法是：在sql语句的任意位置使用问号替代参数，然后把外部传递进来的参数放在一个数组中，然后把数组作为cursor.execute()方法的参数传递进去查询。
在python的文档中有大概这样一段描述：在使用sql语句操纵数据库的时候，不应该直接将字符串连接起来作为sql语句进行查询，因为直接将外部传入的字符串代入到sql语句中就会产生sql注入的问题。比如下面是一个错误的用法symbol = 'IBM'c.execute("... where symbol = '%s'" % symbol)#错误的用法，会带来sql注入在实际使用的时候，应该使用数据库...
Python
sqlite
3操作数据库的时候cur.execute(‘insert into t values (%d)’% num) 会被sql
注入
，但把占位符该成"?“就不会了。
那问题来了，”?"到底做了什么才
防止
了sql
注入
呢？
"?"会把参数当做值来处理，不管参数是什么，都把它插入表就完事。
而直接的字符串拼接是把参数当做SQL语句的一部分，参数
中
有SQL语句的话，是有可能被执行的。
user,pwd = "root","123456"
cursor = conn.cursor()
sql = "select * from tb_login where user = '{0}' and pwd ='{1}' "
cursor.e
sql = "select id, name from test where id=%d and name='%s'" %(id, name)sql
cursor.execute(sql)微信
错误用法2：函数
sql = "select id, name from test where id="+ str(id) +" and name='"+.
python
3.5 安装的时候会有很多可选参数，这些参数是默认不提供的，可是当我们想通过pip install、esay_install 的时候却发现无法安装； 在这种情况下，我们只能从新安装
python
.并在编译的时候添加到可选参数，
------------------------
1 安装
Sqlite
3
1.1 下载SQLTLE3:
https://www.
sqlite
.org/do...
cursor.execute("select * from stocks where name=?",(item))
只有一个参数用SQL
注入
方式来查询，查询失败，百思不得其解。
最终才知道问题出在这里，改正代码如下：
str='Facebook Inc'
cursor.execute("select * from stocks wher...
这个月太忙，最近不太太平，我的愿望是世界和平！
==================================
今天也在找
python
的预编译，早上写的sql是拼接来构成的。于是找了2篇文章，还不错，分享一下大家学习。
ps:直接引用别人的话了，因为他们说的已经很好了。
错误用法：
1 sql = "select id,type,name from xl_bugs w...
CREATE TABLE IF NOT EXISTS users (
id INTEGER PRIMARY KEY AUTOINCREMENT,
name TEXT NOT NULL,
age INTEGER,
gender TEXT
5. 执行SQL语句
```
python
cursor.execute(sql)
6. 提交事务
```
python
conn.commit()
完整代码如下：
```
python
import
sqlite
3
conn =
sqlite
3.connect('database.db')
cursor = conn.cursor()
sql = '''
CREATE TABLE IF NOT EXISTS users (
id INTEGER PRIMARY KEY AUTOINCREMENT,
name TEXT NOT NULL,
age INTEGER,
gender TEXT
cursor.execute(sql)
conn.commit()
conn.close()
以上代码将创建一个名为“users”的表，包含id、name、age和gender四个字段。其
中
id为主键，自增长。name为文本类型，不能为空。age和gender为可选字段。
