在Flask SQL Alchemy中避免SQL注入

Question

我想在提交后从登录字段中获取用户名来查询我的SQL Alchemy数据库。在过去，我使用了以下内容：

rows = db.execute("SELECT * FROM users WHERE username = :username", username=request.form.get("username"))

然而，这是在CS50中，我现在正在使用SQL Alchemy，并想知道如何使用类似的“：username”语句。到目前为止，这就是我的全部内容：

userinfo = User.query.filter_by(username= :username).first(), username=request.form.get("username")

这不起作用。我正在使用http://flask-sqlalchemy.pocoo.org/2.1/queries/中的文档来帮助编写此声明。我收到错误的语法无效。 User类的设置类似于http://flask-sqlalchemy.pocoo.org/2.1/models/#models中的“简单示例”，但没有 repr 功能。