Escape входные данные для postgres

Question

Я пишу скрипт python для вставки данных в моем postgres db.

Является ли postgres функцией escape, как я могу избежать вставленных данных?

Answer 1

Просто передать параметры запроса в качестве второго аргумента execute, как:

>>> cur.execute(
...  """INSERT INTO some_table (an_int, a_date, a_string) 
...   VALUES (%s, %s, %s);""", 
...  (10, datetime.date(2005, 11, 18), "O'Reilly")) 

Тогда все параметры будут надлежащим образом спасся.

Это потому, что psycopg2 следует за Python Database API Specification v2.0 и поддерживает безопасные параметризованные запросы.

Также см:

• Parameterized queries with psycopg2/Python DB-API and PostgreSQL
• psycopg2 equivalent of mysqldb.escape_string?