在 SELECT 语句中使用 sqlite3 DB-API 多参数替换

Question

鉴于：letters = list("abc")我想获得的所有行characters包含在任何信件letters在他们的c列。我可以做到这一点，但只能使用 python 的字符串操作，鉴于它的漏洞，这是不合适的。理想情况下（我的示例已简化）这将使用 GLOB 子句。例如>>> cur.execute(**the statement here**)>>> print(cur.fetchall())>>> [('a',), ('b',), ('c',)]创建数据库：import sqlite3import stringdef char_generator():    for c in string.ascii_lowercase:        yield (c,)con = sqlite3.connect(":memory:")cur = con.cursor()cur.execute("create table characters(c)")cur.executemany("insert into characters(c) values (?)", char_generator())

Answer 1

也许这个样本可以帮助你。

import sqlite3

import string

def char_generator():

    for c in string.ascii_lowercase:

        yield (c,)

con = sqlite3.connect(":memory:")

def initdb():

    cur = con.cursor()

    cur.execute("create table characters(c)")

    cur.executemany("insert into characters(c) values (?)", char_generator())

def search(value):

    values = [c for c in value]

    cur = con.cursor()

    cur.execute('SELECT * FROM characters WHERE c IN ({0})'.format(','.join(['?' for c in values])), values)

    return cur.fetchall()

if __name__ == '__main__':

    initdb()

    print(search("abcde"))

此代码使用参数。因此您无需担心 SQL 注入。