"% s"% định dạng so với "{0}". Định dạng() so với "?" định dạng

Question

Trong post about SQLite này, aaronasterling nói với tôi rằng

• cmd = "attach \"%s\" as toMerge" % "b.db": là sai
• cmd = 'attach "{0}" as toMerge'.format("b.db"): là đúng
• cmd = "attach ? as toMerge"; cursor.execute(cmd, ('b.db',)): là điều đúng đắn

Nhưng, tôi đã nghĩ là người đầu tiên và thứ hai là như nhau. Sự khác nhau giữa ba điều đó là gì?

Answer 1

"attach \"%s\" as toMerge" % "b.db" 

Bạn nên sử dụng ' thay vì ", vì vậy bạn không phải trốn thoát.

Bạn đã sử dụng các chuỗi định dạng cũ không còn được dùng nữa.

'attach "{0}" as toMerge'.format("b.db") 

Điều này sử dụng tính năng chuỗi định dạng mới từ phiên bản Python mới hơn nên được sử dụng thay cho phiên bản cũ nếu có thể.

"attach ? as toMerge"; cursor.execute(cmd, ('b.db',)) 

Điều này bỏ qua định dạng chuỗi hoàn toàn và sử dụng tính năng SQLite thay vào đó, vì vậy đây là cách phù hợp để thực hiện.

Lợi thế lớn: không có nguy cơ tiêm SQL

Answer 2

Vì không bị thoát. Nếu bạn thay thế b.db bằng đầu vào của người dùng, nó sẽ khiến bạn dễ bị tấn công SQL injection.

Answer 3

Sản phẩm đầu tiên và thứ hai sản xuất cùng một kết quả, nhưng phương pháp thứ hai được ưu tiên cho các chuỗi định dạng trong các phiên bản Python mới hơn.

Tuy nhiên, thứ ba là cách tiếp cận tốt hơn ở đây vì nó sử dụng tham số thay vì thao tác chuỗi. Điều này nhanh hơn và an toàn hơn.