转换为SQL风格的字符串

Question

我有3个变量：

var1="abc" 
var2="def" 
sqlPrefix = "select x,y in myTable where myVar in " 

我想创建的('abc','def')一个字符串，所以我可以直接串联，为的sqlPrefx结束，所以我最后的字符串是select x,y in myTable where myVar in ('abc','def')

Answer 1

一般来说，为了避免sql注入，你不应该像这样手动构建sql查询。

但是，仅供参考，这里是你如何 可以 不应该这样做：

sqlPrefix = "select x,y in myTable where myVar in ('%s', '%s')" % (var1, var2) 

此外，见：How to use variables in SQL statement in Python?