python - ？在通过 Python 的 SQLite 查询中看不到

Question

我目前正在使用 Python 2.7 的 SQLite 3 数据库 API。当我去执行这样的查询时:

c.execute('''select ? from music where ? like "%?%"''', (attr, attr, query))

我收到以下错误:

sqlite3.ProgrammingError: Incorrect number of bindings supplied. The current statement uses 2, and there are 3 supplied.

我认为 %?% 是导致它失败的原因。

Answer 1

你误解了参数替换的使用。您可以在 SQL 语句中使用 ? 来代替整个单个变量值。您不能用它代替列名或表名，也不能将它用作更大字符串值的部分。

在这种情况下，您可以这样做:

c.execute('SELECT colname FROM music WHERE other_colname LIKE ?', ('%' + query + '%'))

如果你想在列名中进行子操作，你必须使用字符串格式来完成。如果这样做并且值来自用户输入，则需要小心避免 SQL 注入(inject)。您会受到替换参数的保护，但不会受到字符串格式的保护。