python sql语句中传参数

在Python中，可以使用占位符（placeholder）来传递参数给SQL语句。这种方式可以防止SQL注入攻击，并且更加安全可靠。

使用占位符的一种常见方法是使用参数化查询。具体步骤如下：

1. 构建SQL语句，将待传递的参数用占位符替代。常见的占位符有`%s`、`?`等，具体取决于所使用的数据库驱动。

2. 准备参数列表。将待传递的参数以列表或元组的形式准备好。

3. 执行SQL语句，同时将参数列表传递给数据库驱动。

下面是一个示例，演示如何在Python中使用占位符传递参数给SQL语句（使用MySQL作为示例数据库）：

import mysql.connector

# 连接数据库
conn = mysql.connector.connect(
    host="localhost",
    user="username",
    password="password",
    database="database_name"
)

# 创建游标
cursor = conn.cursor()

# 构建SQL语句
sql = "SELECT * FROM table_name WHERE column_name = %s"

# 准备参数列表
params = ('value',)

# 执行SQL语句
cursor.execute(sql, params)

# 获取查询结果
result = cursor.fetchall()

# 处理查询结果
for row in result:
    print(row)

# 关闭游标和连接
cursor.close()
conn.close()

在上面的示例中，`%s`是MySQL中的占位符。参数列表`params`是一个包含一个元素的元组，元素值为待传递的参数。执行SQL语句时，将参数列表传递给`execute()`方法即可。

需要注意的是，不同的数据库驱动可能对占位符的具体实现方式有所差异，可以参考相应数据库驱动的文档以获取更多具体信息。