python3拼接sql语句时如何防止单引号转义？

在Python3中拼接SQL语句时，为了防止SQL注入攻击，应该避免直接拼接字符串，因为这样做可能会引发单引号转义问题，进而导致SQL注入安全漏洞。正确的做法是使用参数化查询，这样数据库驱动会自动处理单引号和其它特殊字符的转义问题。下面给出几个使用参数化查询的例子：

1. 使用原生SQL和参数化查询（以MySQL为例）:

import mysql.connector

# 假设已经建立了数据库连接 conn
cursor = conn.cursor()
user_id = 123
query = "SELECT * FROM users WHERE id = %s"
cursor.execute(query, (user_id,))

2. 使用ORM框架（例如SQLAlchemy）:

from sqlalchemy import create_engine, Table, Column, Integer, String, MetaData

engine = create_engine('mysql://username:password@localhost/dbname')
metadata = MetaData()
users = Table('users', metadata,
              Column('id', Integer, primary_key=True),
              Column('name', String(50)))

user_id = 123
query = users.select().where(users.c.id == user_id)
result = engine.execute(query).fetchone()

3. 使用sqlite3模块:

import sqlite3

conn = sqlite3.connect('example.db')
cur = conn.cursor()
user_id = 123
query = "SELECT * FROM users WHERE id = ?"
cur.execute(query, (user_id,))

for row in cur:
    print(row)

在以上示例中，`%s`、`%s`和`?`都是参数占位符，用于代替直接拼接的变量值。数据库驱动会负责将这些占位符替换为适当的值，并自动处理任何必要的转义，从而防止SQL注入。