DAL executesql 参数化查询

Question

我一直在寻找，但在任何地方都找不到我正在寻找的信息。

如何在 web2py 中使用 DAL 将参数化查询与自定义 sql 一起使用？例如，我有以下查询：

sql = "SELECT * FROM Users WHERE Username = %s"

我这样称呼它

user = db.executesql(sql, username, as_dict=True)

我认为会使用参数进行查询，但如果我通过 "' or 1=1; --;"作为用户名，代码崩溃说它是无效的 SQL。

使用 DAL 将参数化查询与自定义 SQL 一起使用的正确方法是什么，因为这显然没有像我想象的那样转义？

谢谢，

特拉维斯

Answer 1

使用placeholders参数：

user = db.executesql(sql, placeholders=(username,), as_dict=True)