MySQL ve PYTHON. Bir WHERE 'sütun' tuple nasıl sorgulanır?

Question

Bir tam sayı var, tuple içinde bulunan sütun değeri olan tüm satırları sorgulamak istiyorum. Sorguyu oluşturmak çok kolaydır, ancak sql enjeksiyon kanıtı olmasını istiyorum. Normalde hazırlanan ifadeyi kullanırım, ancak her iki ihtiyaçla nasıl başa çıkacağımı anlamıyorum.

Benim sorgu inşaat benziyor:

filterList = (1, 2, 4) #Taken as input. Should be integers 

sqlRequest = 'SELECT * FROM table' 
    if filterList != None and len(filterList) > 0: 
     sqlRequest += ' WHERE column IN (' 
     addComa = False 
     for filter in filterList: 
      if addComa: 
       sqlRequest += ',' 
      else: 
       addComa = True 
      sqlRequest += '%s'%(int(filter)) #casted to int to avoid SQL injection. Still not as good as I would like 
     sqlRequest += ')' 

    #At this point sqlRequest == 'SELECT * FROM table WHERE column IN (1,2,4)' 
    sqlResult = cursor.execute(sqlRequest) 

ben bir sorgu gibi daha çok isteriz:

sqlRequest = 'SELECT * FROM table WHERE column IN (%s, %s, %s)' 

Ve hazırlanmış deyimi ile çalıştırmak için:

sqlResult = cursor.execute(sqlRequest, filterList[0], filterList[1], filterList[2]) 

Ama değişken uzunluk olarak filterList. Bir şey yapmanın bir yolu var mı?

sqlResult = cursor.execute(sqlRequest, filterList) #where filterList is the whole tuple 

Answer 1

Sen tutucuları oluşturmak için biçimlendirme dizesi kullanabilirsiniz:

statement = "SELECT * FROM table" 
if filterList: 
    statement += " WHERE column IN ({0})".format(
     ', '.join(['%s'] * len(filterList))) 
cursor.execute(statement, filterList) 

: Hala filterList boş olmadığını test etmek ve bu durumda tamamen WHERE maddesini ihmal isteyebilirsiniz

statement = "SELECT * FROM table WHERE column IN ({0})".format(
    ', '.join(['%s'] * len(filterList))) 
cursor.execute(statement, filterList) 

Answer 2

Tam bir karakter dizisi olarak ekleme gibi bir mysql içine ekleyebilmeniz gerekir.

inList = "','".join(str(i) for i in filterList) 
inList = r"'%s'" % inList 
sqlRequest = 'SELECT * FROM table WHERE column IN (%s)' 
sqlResult = cursor.execute(sqlRequest, inList)