python - 此 sqlite3 查询的正确格式是什么？ (Python)

Question

我有以下代码:

def add_record(self,values):
    self.sql.execute("INSERT INTO TEST VALUES (?,?)" % values)

我想调整它以适应用户定义的表格，例如:

def add_record(self,tablename,values):
        self.sql.execute("INSERT INTO TEST VALUES (?,?)" % values)

但是我不喜欢正确的格式。有人可以帮忙吗？

Answer 1

请注意，在任何查询中使用字符串插值都会带来 SQL-injection attack 的风险。

如果您可以确定恶意代码不会被使用，您可以使用以下两步过程。
1.表名字符串插值。
2. 将查询参数作为第二个参数传递给 .execute()

(不支持表名和/或列名的参数化。)

def add_record(self, tablename, values):
    the_query = "INSERT INTO {:s} VALUES (?,?);".format(tablename)
    self.sql.execute(the_query, values)