Postgres无法在Python中获取数据

有趣的是,“这是一个本地服务器,所以我对SQL注入不开放”的立场常常会让人们认为字符串插值比参数化查询更容易。在您的情况下,最终会导致:

'... cookie_id = \'{}\''.format(cookie)

所以你最终得到了一些不太清晰的东西,而且也失败了(尽管我不知道具体的错误是如何发生的)。使用参数化:

cursor.execute("SELECT user_id, created_at FROM cookies WHERE cookie_id = %s ORDER BY created_at DESC;", (cookie,))

要旨 始终以正确的方式进行 . 注意,有些情况下必须使用字符串插值,例如,对于表名:

cursor.execute("SELECT * FROM %s", (table_name,)) # Not valid
cursor.execute("SELECT * FROM {}".format(table_name)) # Valid

在这些情况下,如果其他人可以与代码交互,则需要采取其他预防措施。