python - SQL スタイル文字列への変換

Question

私は3つの変数を持っています:

var1="abc"
var2="def"
sqlPrefix = "select x,y in myTable where myVar in "

の文字列を作成したい('abc','def')ので、それを の最後に直接連結できるsqlPrefxので、最終的な文字列はselect x,y in myTable where myVar in ('abc','def')

Answer 1

一般的に言えば、SQL インジェクションを避けるために、このように手動で SQL クエリを作成するべきではありません。

しかし、参考までに、これを行うべきではない方法を次に示します。

sqlPrefix = "select x,y in myTable where myVar in ('%s', '%s')" % (var1, var2)

また、参照: Python の SQL ステートメントで変数を使用する方法?