pymysql，如何动态创建 查询sql语句

动态创建查询 SQL 语句可以使用 Python 的字符串格式化功能和条件语句来实现。例如，假设我们有一个表格叫做 `users`，它有三个字段：`id`，`name` 和 `age`，我们想要查询年龄大于等于 18 岁的用户，可以使用以下代码：

import pymysql

# 连接数据库
conn = pymysql.connect(host='localhost', user='root', password='password', db='test')

# 获取游标
cursor = conn.cursor()

# 定义查询语句模板
sql_template = "SELECT * FROM users WHERE age >= %s"

# 定义参数
age_limit = 18

# 动态创建查询语句
sql = sql_template % age_limit

# 执行查询
cursor.execute(sql)

# 获取结果
result = cursor.fetchall()

# 输出结果
print(result)

# 关闭游标和连接
cursor.close()
conn.close()

在这个例子中，我们定义了一个查询语句模板 `sql_template`，其中 `%s` 是一个占位符，表示后面会传入一个参数。我们定义了一个 `age_limit` 参数，然后使用字符串格式化将其插入到查询语句模板中，生成最终的查询语句 `sql`。最后，我们执行查询并获取结果。

注意，在使用字符串格式化时，应该使用 `%s` 占位符来表示参数。如果使用其他占位符，如 `%d` 或 `%f`，可能会导致 SQL 注入等安全问题。此外，如果需要在查询语句中插入字符串参数，需要使用引号将其括起来，例如：

sql_template = "SELECT * FROM users WHERE name = '%s'"
name = 'Alice'
sql = sql_template % name

但是这种方式也存在 SQL 注入的风险，因此建议使用参数化查询来保证安全。