Python MySQLdb execute表变量

Question

我正在尝试使用一个变量作为表名。我在第1行的''myTable'‘附近得到错误"...我肯定没有正确地转义这个错误。错误中的double“似乎是一个线索，但我不明白。

db = MySQLdb.connect("localhost","user","pw","database" )
table = "myTable"
def geno_order(db, table):
    cursor = db.cursor() # prepare a cursor object using cursor() method
    sql = "SELECT * FROM %s"
    cursor.execute(sql, table)
    results = cursor.fetchall()

Answer 1

您不能在execute调用中使用表名的参数。为此，您需要使用普通的Python字符串插值：

sql = "SELECT * FROM %s" % table
cursor.execute(sql)

当然，如果表名来自用户输入，则需要格外小心。要减少SQL注入，请根据有效名称列表验证表名。