Как вставить переменную в sql запрос
Чтобы вставить переменную в SQL-запрос, вам нужно использовать специальный синтаксис в зависимости от типа базы данных.
Например, если вы используете MySQL, то для вставки переменной в запрос можно использовать символ ?, а затем передать значения переменных в запрос с помощью метода execute():
INSERT INTO mytable (column1, column2, column3)
VALUES (?, ?, ?);
Затем, при выполнении запроса, вы должны передать кортеж значений, содержащий значения для каждой переменной, например:
cursor.execute("INSERT INTO mytable (column1, column2, column3)
VALUES (?, ?, ?)", (value1, value2, value3))
В других базах данных, таких как PostgreSQL или Oracle, вы можете использовать именованные параметры вместо символа ?. Например:
INSERT INTO mytable (column1, column2, column3)
VALUES (:value1, :value2, :value3);
А затем, при выполнении запроса, вы можете передать словарь, содержащий значения для каждой переменной:
cursor.execute("INSERT INTO mytable (column1, column2, column3)
VALUES (:value1, :value2, :value3)", {'value1': 'foo', 'value2': 'bar', 'value3': 'baz'})
В обоих случаях используется привязка параметров, что позволяет защитить запрос от инъекций и упрощает вставку значений в запросы.
В самих SQL запросах не используются переменные, в них уже подставлены данные. Но переменные используются в коде приложения. Например, для вставки переменной в SQL запрос в Python используются параметризованные запросы. Это делается для предотвращения SQL-инъекций.
Например, если мы используем psycopg2
import psycopg2
cursor = connection.cursor()
name = "John"
age = 30
query = "SELECT * FROM users WHERE name = %s AND age = %s"
cursor.execute(query, (name, age))
Или для библиотеки mysql-connector-python:\
import mysql.connector
cursor = connection.cursor()
name = "John"
age = 30
query = "SELECT * FROM users WHERE name = %s AND age = %s"
cursor.execute(query, (name, age))
Важно: никогда не форматируйте SQL запросы с помощью f-строк или метода format(), так как это может привести к SQL-инъекциям.
# Так делать нельзя!
query = f"SELECT * FROM users WHERE name = '{name}' AND age = {age}"
