Parameterized queries in every language
Në shqip: Query-t e parametrizuara në çdo gjuhë
ShpjegimiSQ
Çdo gjuhë ka mënyrën e vet për parametra: ? në SQLite/MySQL/Java, $1 në PostgreSQL, :emri në PDO/SQLAlchemy, @emri në C#. Rregulli është i njëjtë kudo: mos e bashko kurrë tekstin e përdoruesit në SQL.
EnglishEN
Every language has its own parameter style: ? in SQLite/MySQL/Java, $1 in PostgreSQL, :name in PDO/SQLAlchemy, @name in C#. The rule is the same everywhere: never concatenate user text into SQL.
Si ta mendosh
Si një formular me fusha të caktuara, ku s'mund të shkruash jashtë kutive.
Lexoje në anglisht
Like a form with fixed fields where you can't write outside the boxes.
Shembull kodipython
cur.execute("SELECT * FROM nxenesit WHERE emri = %s", (emri,))