Python 3 sqlite 参数化 SQL 查询

Question

我一直在尝试使用 Python 3 和 sqlite 模块进行参数化 SQL 查询，并且仅使用一个变量就成功了。然而，当使用两个变量时，我得到一个 IndexError: tuple index out of range错误。关于导致此错误的原因有什么建议吗？

sql = ("select exists(SELECT * from USERS where PASSWORD = '{0}' AND USERNAME = '{1}')")
args = (var1,var2)
cursor = database_connection.execute((sql).format(args))

Answer 1

从不 在你的 sql 命令中填写原始条目，这是调用 sql 注入(inject)攻击。

使用内置的填充功能。

sql = "select exists(SELECT * from USERS where PASSWORD = ? AND USERNAME = ?)"
args = (var1,var2)
cursor = database_connection.execute(sql, args)