Pyodbc查询字符串引号转义

Question

我正在尝试使用以下代码使用pyodbc执行查询：

cursor.execute("SELECT x from y where Name='%s'"%namepar)

参数可能包含引号，因此需要转义才能正常工作，我该如何做？我尝试在namepar中将 " ' " 替换为 " \\' "，但仍无法正常工作，出现了pyodbc.ProgrammingError错误。

- DanTheMan

Answer 1

你可以传递参数，这些参数将被转义。

cursor.execute("SELECT x from y where Name = ?", (namepar,))

http://www.python.org/dev/peps/pep-0249/#id15

http://code.google.com/p/pyodbc/wiki/Cursor

- falsetru

Answer 2

你也可以尝试在它周围加上额外的引号。在我的使用情况下，这种方法有效。

cursor.execute("SELECT x from y where Name=''%s''" % namepar)

- Dan Temkin

---

这个程序容易受到 SQL 注入攻击的威胁。 - Neob91