在sqlite3中执行时，如何在元组多倍时间内使用值

Question

我正在尝试使用sqlite3的execute函数来清理得到的字符串。 但是，我无法做到这一点，因为我无法弄清楚如何多次使用元组中的值。

我能做的就是这个

cursor.execute("""
                    select *
                    from rides r
                    where r.cno = c.cno
                    and (r.src like '%{0}%'
                    or r.dst like '%{0}%'
                    or e.lcode like '%{0}%'
                    and (r.src like '%{1}%'
                    or l3.address like '%{1}%')
                    and (r.src like '%{2}%'
                    or l1.address like '%{2}%')
                    ;
                    """.format(keywords[0], keywords[1], keywords[2]))

但是，我了解到它可以进行直射攻击，因为此处直接使用了输入。 有没有一种方法可以在执行函数的结尾多次使用元组？

Answer 1

sqlite3将卫生设施放在文档的首位。 使用命名的占位符样式。

https://docs.python.org/3/library/sqlite3.html#sqlite3.Cursor.execute

# This is the qmark style:
cur.execute("insert into people values (?, ?)", (who, age))

# And this is the named style:
cur.execute("select * from people where name_last=:who and age=:age", {"who": who, "age": age})

上一篇文章的答案也可以帮助您直观地看到此修复程序： https : //stackoverflow.com/a/12184247/10553976