在Python中使用SQL传参时，可以通过参数化查询来避免SQL注入风险、提高代码的可读性和维护性。下面详细描述其中一点：参数化查询不仅仅能防止SQL注入，还能提高代码的可读性和维护性。通过参数化查询，程序员不需要手动将变量值插入到SQL字符串中，这样不仅减少了出错的机会，也使得SQL语句的结构更加清晰易懂。
一、使用Python的SQLite库进行参数化查询
Python内置了SQLite数据库的支持，通过sqlite3模块可以很方便地与SQLite数据库进行交互。参数化查询在SQLite中是很常用的方式。
使用占位符进行参数化查询
在SQLite中，参数化查询的占位符通常是问号（?）。在执行SQL语句时，将参数以元组的形式传递给execute()方法。
import sqlite3
连接到SQLite数据库
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
创建表
cursor.execute('''CREATE TABLE IF NOT EXISTS users (id INTEGER PRIMARY KEY, name TEXT, age INTEGER)''')
插入数据
name = "Alice"
age = 30
cursor.execute("INSERT INTO users (name, age) VALUES (?, ?)", (name, age))
提交事务
conn.commit()
查询数据
cursor.execute("SELECT * FROM users WHERE age > ?", (25,))
results = cursor.fetchall()
print(results)
关闭连接
conn.close()
在这个例子中，?占位符用于在SQL语句中表示参数的位置。实际的参数值在执行语句时通过元组传递给execute()方法。
提高代码的可读性
使用参数化查询可以使代码更加清晰，因为SQL语句的结构保持不变，变量只是单独传递的数据。这种分离使得SQL逻辑更容易阅读和维护。
二、使用Python的MySQL Connector进行参数化查询
对于MySQL数据库，Python提供了mysql-connector-python库来进行数据库操作。与SQLite类似，MySQL也支持参数化查询。
使用命名参数进行参数化查询
MySQL Connector支持命名参数，这使得代码更具可读性，因为参数名可以直接在SQL语句中显示。
import mysql.connector
连接到MySQL数据库
conn = mysql.connector.connect(
host="localhost",
user="user",
password="password",
database="test_db"
)
cursor = conn.cursor()
插入数据
name = "Bob"
age = 25
sql = "INSERT INTO users (name, age) VALUES (%(name)s, %(age)s)"
params = {'name': name, 'age': age}
cursor.execute(sql, params)
提交事务
conn.commit()
查询数据
sql = "SELECT * FROM users WHERE age > %(min_age)s"
params = {'min_age': 20}
cursor.execute(sql, params)
results = cursor.fetchall()
print(results)
关闭连接
conn.close()
在这个例子中，使用了%(name)s和%(age)s作为占位符，然后通过字典传递参数。这种方式不仅防止了SQL注入，还使得SQL语句更直观。
三、使用Python的Psycopg2库进行参数化查询
对于PostgreSQL数据库，Python提供了psycopg2库来进行数据库操作。Psycopg2也支持参数化查询。
使用百分号占位符进行参数化查询
在Psycopg2中，参数化查询的占位符使用百分号（%）来表示。
import psycopg2
连接到PostgreSQL数据库
conn = psycopg2.connect(
dbname="test_db",
user="user",
password="password",
host="localhost"
)
cursor = conn.cursor()
插入数据
name = "Charlie"
age = 28
cursor.execute("INSERT INTO users (name, age) VALUES (%s, %s)", (name, age))
提交事务
conn.commit()
查询数据
cursor.execute("SELECT * FROM users WHERE age > %s", (20,))
results = cursor.fetchall()
print(results)
关闭连接
conn.close()
在这个例子中，%s用作参数占位符。参数在SQL语句执行时通过元组传递给execute()方法。
四、避免SQL注入风险
SQL注入是一种通过向SQL查询中插入或修改SQL代码从而攻击数据库的技术。参数化查询是防止SQL注入攻击的有效方法，因为它将用户输入的数据与SQL语句分开处理。
通过参数化查询防止SQL注入
当使用参数化查询时，数据库驱动程序会自动将参数值进行转义并正确处理特殊字符，因此无需担心用户输入中可能存在的恶意SQL代码。
import sqlite3
连接到SQLite数据库
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
用户输入
user_input = "1; DROP TABLE users" # 恶意输入
使用参数化查询防止SQL注入
cursor.execute("SELECT * FROM users WHERE id = ?", (user_input,))
提交事务
conn.commit()
关闭连接
conn.close()
在这个例子中，用户输入1; DROP TABLE users试图删除表，但由于使用了参数化查询，输入被当作纯文本处理，不会执行DROP TABLE命令。
五、提高代码的可维护性
参数化查询不仅提高了代码的安全性，还提高了代码的可维护性。因为SQL语句的结构保持不变，所以当需要更新或调整查询时，只需修改参数部分。
易于修改和扩展
假设你需要更改查询条件或增加新的查询参数，只需调整参数部分而不需要重写整个SQL语句。
# 连接到SQLite数据库
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
新的查询条件
min_age = 20
max_age = 40
cursor.execute("SELECT * FROM users WHERE age BETWEEN ? AND ?", (min_age, max_age))
提交事务
conn.commit()
关闭连接
conn.close()
在这个例子中，只需在参数部分添加新的条件即可，不需要更改SQL语句的结构。这样不仅减少了出错的可能性，也使得代码更易于维护和扩展。
六、Python中的ORM工具
除了直接使用SQL语句，Python中也有许多ORM（对象关系映射）工具，如Django ORM、SQLAlchemy等，这些工具可以进一步简化数据库操作，并提供参数化查询功能。
使用SQLAlchemy进行参数化查询
SQLAlchemy是一个广泛使用的Python ORM工具，它提供了强大的数据库操作功能，并支持参数化查询。
from sqlalchemy import create_engine, Table, MetaData, select
创建数据库引擎
engine = create_engine('sqlite:///example.db')
反射数据库表
metadata = MetaData(bind=engine)
users_table = Table('users', metadata, autoload=True)
创建查询
age_param = 25
stmt = select([users_table]).where(users_table.c.age > age_param)
执行查询
with engine.connect() as connection:
results = connection.execute(stmt).fetchall()
print(results)
在这个例子中，SQLAlchemy的select语句使用了参数化查询，避免了SQL注入风险，并提供了易于维护的查询语句。
通过使用参数化查询，Python程序员可以安全、有效地与数据库交互，并编写出更安全、可维护的代码。无论使用哪种数据库，参数化查询都是一个良好的实践。
相关问答FAQs：
如何在Python中使用SQL语句传递参数？
在Python中，可以使用多种库来执行SQL语句并传递参数，其中最常用的是sqlite3和SQLAlchemy。通过参数化查询，可以有效防止SQL注入攻击。以sqlite3为例，使用问号?作为占位符，并在执行时传入参数列表，如下所示：
import sqlite3
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
# 假设有一个用户表
query = "SELECT * FROM users WHERE username = ? AND age = ?"
params = ('john_doe', 30)
cursor.execute(query, params)
results = cursor.fetchall()
conn.close()
在使用ORM框架时如何传递参数？
如果你使用SQLAlchemy等ORM框架，传递参数的方式会有所不同。在ORM中，通常通过对象的属性来设置查询条件。例如，使用SQLAlchemy的查询可以如下实现：
from sqlalchemy.orm import sessionmaker
from sqlalchemy import create_engine
from your_model import User # 假设你的模型类为User
engine = create_engine('sqlite:///example.db')
Session = sessionmaker(bind=engine)
session = Session()
# 查询特定用户
user = session.query(User).filter(User.username == 'john_doe', User.age == 30).first()
使用Python的其他数据库库传参有哪些注意事项？
在使用其他数据库库如pymysql或psycopg2时，参数传递的方式可能略有不同。一般建议使用库提供的参数化查询功能，避免直接拼接SQL字符串。例如，在pymysql中，可以使用%s作为占位符：
import pymysql
connection = pymysql.connect(host='localhost', user='user', password='passwd', db='db')
cursor = connection.cursor()
query = "SELECT * FROM users WHERE username = %s AND age = %s"
params = ('john_doe', 30)
cursor.execute(query, params)
results = cursor.fetchall()
connection.close()
使用这些方法确保了你的SQL查询既安全又高效。
