sqlite中的sql语句

Question

帮助上的例子importsqlite3
importmd5
defmd5sum(t):
returnmd5.md5(t).hexdigest()
con=sqlite3.connect(":memory:")
con.create_function("md5",1,md5sum)
cur=con.cursor()
cur.execute("selectmd5(?)",("foo",))//这行是什么意思？
printcur.fetchone()[0]有注释那行是什么意思？
还有这个cur.execute("select?",(p,))文档上也不说，真TM的气人，法克

Answer 1

看样子，应该是，这一行等于cur.execute("selectmd5(foo)");

Answer 2

根据文档：Instead,usetheDB-API’sparametersubstitution.Put?asaplaceholderwhereveryouwanttouseavalue,andthenprovideatupleofvaluesasthesecondargumenttothecursor’sexecute()method.之所以用placeholder，是因为直接使用字符串连接生成SQL代码这种做法是非常糟糕的，轻则字符串没有escape导致语法错误，重则可能遭受潜在的SQL注入攻击。