數據庫查詢數據操作,為了防止註入,要執行參數化查詢,也就是直接利用execute直接進行sql語句的執行,
因為exexute本身就有接收語句變量的參數位,
execute()函數本身就有接受SQL語句變量的參數位，只要正確的使用（直白一點就是：使用”逗號”，而不是”百分號”）就可以對傳入的值進行correctly轉義，從而避免SQL註入的發生。
cursor.execute(‘select * from tb where id > %s‘,[5,])

相關推薦