python - 如何使用 python db-api 安全地生成 SQL LIKE 语句

Question

我正在尝试使用 python 的 db-api 组装以下 SQL 语句:

SELECT x FROM myTable WHERE x LIKE 'BEGINNING_OF_STRING%';

其中 BEGINNING_OF_STRING 应该是一个通过 DB-API 安全填充的 Python 变量。我试过了

beginningOfString = 'abc'

cursor.execute('SELECT x FROM myTable WHERE x LIKE '%s%', beginningOfString) 
cursor.execute('SELECT x FROM myTable WHERE x LIKE '%s%%', beginningOfString)

我没有主意了；正确的方法是什么？

Answer 1

如果可以的话最好将参数与sql分开。然后您可以让 db 模块负责正确引用参数。

sql='SELECT x FROM myTable WHERE x LIKE %s'
args=[beginningOfString+'%']
cursor.execute(sql,args)