python - 在 SQLAlchemy 中手动构建 SQL 查询时如何正确转义字符串？

Question

我正在使用 SQLAlchemy 连接到 Python 中的不同数据库，但没有 ORM 支持，因为由于多种原因无法实现。

主要是我使用类似的东西构建了一个复杂的 SQL 查询

sql += "AND fieldname = '%s'" % myvar

在我的例子中，这不是 SQL 注入(inject)的问题，因为数据始终来自受信任的来源，但即使来源是受信任的，它也可能包含可能破坏查询的字符，如 '、% 或 _。

主要是，我需要对它们进行转义，我想知道是否已经存在可以重复使用的转义函数。

Answer 1

你不应该尝试实现你自己的转义，而应该使用 SQLAlchemy 的内置方法:

sql = 'select * from foo where fieldname = :name'
result = connection.execute(sql, name = myvar)