姜戈& Postgres 显式 SQL 参数转义

Question

我需要构建一个对数据库的长 SQL 请求，但我不确定如何正确转义参数

如何像cursor.execute() 那样在 SQL 中显式转义参数？

您还可以给我一个例子，这个转义到底要做什么，以便我可以测试它吗？

如果转义标准 SQL 请求或数据库函数调用有什么区别吗？

Answer 1

如果您需要动态构建参数列表：

sql = "SELECT FROM foo WHERE bar='baz'"
param_list = []
for entry in loop_array:
    sql = sql + "AND " + entry.key + " = %s"
    param_list.append(entry.value)

cursor.execute(sql, param_list)