Python MySQLdb执行表变量

Question

我试图将变量用于表名。我收到错误＆＃34; ...附近＆＃39; myTable＆＃39;＆＃39;在第1行 我一定不能逃避这一权利。双重＆＃39;在错误中似乎是一个线索，但我没有得到它。

db = MySQLdb.connect("localhost","user","pw","database" )
table = "myTable"
def geno_order(db, table):
    cursor = db.cursor() # prepare a cursor object using cursor() method
    sql = "SELECT * FROM %s"
    cursor.execute(sql, table)
    results = cursor.fetchall()

Answer 1

您无法在execute调用中为表名使用参数。你需要使用普通的Python字符串插值：

sql = "SELECT * FROM %s" % table
cursor.execute(sql)

当然，如果表名来自用户输入，则需要格外小心。要缓解SQL注入，请根据有效名称列表验证表名。