MySQL и PYTHON. Как запросить WHERE 'column' IN tuple

Question

У меня есть кортеж целого числа, я хочу запросить все строки со значением столбца, найденным в кортеже. Легко построить запрос, но я хочу, чтобы это было sql-инъекцией. Обычно я использую подготовленное заявление, но я не вижу, как справляться с обеими потребностями.

Моей конструкция запроса выглядит следующим образом:

filterList = (1, 2, 4) #Taken as input. Should be integers 

sqlRequest = 'SELECT * FROM table' 
    if filterList != None and len(filterList) > 0: 
     sqlRequest += ' WHERE column IN (' 
     addComa = False 
     for filter in filterList: 
      if addComa: 
       sqlRequest += ',' 
      else: 
       addComa = True 
      sqlRequest += '%s'%(int(filter)) #casted to int to avoid SQL injection. Still not as good as I would like 
     sqlRequest += ')' 

    #At this point sqlRequest == 'SELECT * FROM table WHERE column IN (1,2,4)' 
    sqlResult = cursor.execute(sqlRequest) 

Я хотел бы иметь запрос больше как:

sqlRequest = 'SELECT * FROM table WHERE column IN (%s, %s, %s)' 

и выполнить его с подготовленным заявлением:

sqlResult = cursor.execute(sqlRequest, filterList[0], filterList[1], filterList[2]) 

Но filterList как переменная длина. Есть ли способ сделать что-то вроде?

sqlResult = cursor.execute(sqlRequest, filterList) #where filterList is the whole tuple 

Answer 1

Вы можете использовать строку форматирования для генерации заполнителей:

statement = "SELECT * FROM table WHERE column IN ({0})".format(
    ', '.join(['%s'] * len(filterList))) 
cursor.execute(statement, filterList) 

Вы все еще можете проверить, что filterList не пусто, и опустить предложение WHERE вообще в этом случае:

statement = "SELECT * FROM table" 
if filterList: 
    statement += " WHERE column IN ({0})".format(
     ', '.join(['%s'] * len(filterList))) 
cursor.execute(statement, filterList) 

Answer 2

вы сможете вставить его как полную строку в предложение mysql in.

inList = "','".join(str(i) for i in filterList) 
inList = r"'%s'" % inList 
sqlRequest = 'SELECT * FROM table WHERE column IN (%s)' 
sqlResult = cursor.execute(sqlRequest, inList)