内联列表以在python MySQLDB IN子句中使用

Question

我知道如何将列表映射到字符串：

foostring = ",".join( map(str, list_of_ids) )

而且我知道我可以使用以下命令将该字符串放入IN子句中：

cursor.execute("DELETE FROM foo.bar WHERE baz IN ('%s')" % (foostring))

我需要使用MySQLDB安全地完成同一件事（避免SQL注入）。在上面的示例中，由于foostring没有作为执行参数传递，因此它很容易受到攻击。我还必须在mysql库之外引用和转义。

Answer 1

无痛MySQLdb execute('...WHERE name1 = %s AND name2 IN (%s)', value1, values2)def execute(sql, *values):    assert sql.count('%s') == len(values), (sql, values)    placeholders = []    new_values = []    for value in values:        if isinstance(value, (list, tuple)):            placeholders.append(', '.join(['%s'] * len(value)))            new_values.extend(value)        else:            placeholders.append('%s')            new_values.append(value)    sql = sql % tuple(placeholders)    values = tuple(new_values)    # ... cursor.execute(sql, values)