？没有通过Python在SQLite查询中看到

Question

我目前正在使用Python 2.7的SQLite 3数据库API。当我去执行这样的查询时：

c.execute('''select ? from music where ? like "%?%"''', (attr, attr, query))

我收到以下错误：

sqlite3.ProgrammingError: Incorrect number of bindings supplied. The current statement uses 2, and there are 3 supplied.

我认为%?%正在甩掉它。

Answer 1

您误解了参数替换的使用。您可以在SQL语句中使用?替换整个单变量值。您不能使用它代替列名或表名，也不能将其用作较大字符串值的 part 。

在这种情况下，你可以这样做：

c.execute('SELECT colname FROM music WHERE other_colname LIKE ?', ('%' + query + '%'))

如果要在列名称中填写，则必须使用字符串格式。如果您这样做并且值来自用户输入，则需要小心避免SQL注入。你受到替代参数的保护，但不受字符串格式的保护。