python - SQL语句中的字符串转义

Question

我正在尝试执行以下查询:

cursor.execute("SELECT DISTINCT(provider) FROM raw_financials 
                WHERE vendor_id="%s" OR title='%'", (vendor_id, title))

我的问题是标题可以是任何东西，例如它可以是"Hello, Sir", 'Yes' he responded。因此，当我执行上述操作时，我可能会得到一个(错误的)返回值，例如 An Elf\\'s Story(引发 SQL 错误)。

如何在此处正确引用 SQL 语句和标题？

Answer 1

不要自己引用；您的数据库驱动程序将为您完成:

cursor.execute("SELECT DISTINCT(provider) FROM raw_financials 
            WHERE vendor_id = %s OR title = %s", (vendor_id, title))

编辑:上面的 %s 是占位符，指示参数(vendor_id 和 title)应该插入的位置。 MySQLdb 使用 %s 作为占位符，但其他一些驱动程序使用 ?。您可能需要更改我上面的代码以使用适合您的驱动程序的占位符。