Django的原始sql格式表名

Question

我想插入到原始的sql的表名，但它插入一個格式錯誤的字符串，所以SQL查詢失敗。我找不到插串入SQL查詢properyly有道：

from django.db import connection 
cursor = connection.cursor() 
cursor.execute("SELECT * from %s;", ['product']) 

拋出：

django.db.utils.ProgrammingError: syntax error at or near "'product'" 
LINE 1: SELECT * from 'product'; 

Answer 1

你不可錯過的表也不列名作爲參數的參數。相反，這樣做：

qry = "SELECT * from %s;" % 'product' 
cursor.execute(qry) 

而被銘記的SQL-injection攻擊的可能性。