Python:在字符串周围插入双引号或单引号

Question

我使用 python 访问 MySQL 数据库，由于引号不在变量两边，我在字段中得到一个未知列。

代码如下:

cur = x.cnx.cursor()
cur.execute('insert into tempPDBcode (PDBcode) values (%s);' % (s)) 
rows = cur.fetchall()

如何在 s 的值周围手动插入双引号或单引号？我正在尝试使用 str() 并手动连接 s 周围的引号，但它仍然不起作用。sql 语句工作正常 iv 双重和三次检查我的 sql 查询。

Answer 1

您不应该使用 Python 的字符串函数来构建 SQL 语句。您冒着留下 SQL 注入(inject)漏洞的风险。你应该这样做:

cur.execute('insert into tempPDBcode (PDBcode) values (%s);', s) 

注意逗号。