复杂查询语句如何放置占位符？

复杂查询语句中需要放置占位符来防止SQL注入攻击，占位符的使用可以通过以下几个步骤完成：

1. 准备SQL语句：首先需要准备好SQL语句，例如SELECT、INSERT、UPDATE、DELETE等操作语句。

2. 添加占位符：在SQL语句中添加占位符，占位符的格式根据不同的数据库而有所不同，例如在MySQL中可以使用"?"作为占位符，在Oracle中可以使用":name"作为占位符。

3. 准备参数：准备好需要传递给SQL语句的参数，参数可以是字符串、整数、日期等类型。

4. 执行SQL语句：执行SQL语句时，将参数传递给SQL语句中的占位符，这样可以避免SQL注入攻击。

下面是一个示例代码：

import pymysql

# 连接数据库
conn = pymysql.connect(host='localhost', user='root', password='123456', database='test')

# 准备SQL语句
sql = "SELECT * FROM users WHERE name = %s AND age > %s"

# 准备参数
params = ('Tom', 18)

# 执行SQL语句
cursor = conn.cursor()
cursor.execute(sql, params)
result = cursor.fetchall()

# 关闭数据库连接
conn.close()

在上面的示例代码中，使用了占位符"%s"来代替SQL语句中的参数，然后在执行SQL语句时，将参数传递给占位符，这样可以避免SQL注入攻击。