"% s"% प्रारूप बनाम "{0}"। प्रारूप() बनाम "?" प्रारूप

Question

इस post about SQLite में, aaronasterling मुझसे कहा था कि

• cmd = "attach \"%s\" as toMerge" % "b.db": गलत
• cmd = 'attach "{0}" as toMerge'.format("b.db") है: सही है
• cmd = "attach ? as toMerge"; cursor.execute(cmd, ('b.db',)):, सही बात

है लेकिन मैं पहले सोचा है और दूसरा वही हैं। उन तीनों के बीच मतभेद क्या हैं?

Answer 1

"attach \"%s\" as toMerge" % "b.db" 

आप " के बजाय ' का उपयोग करना चाहिए, ताकि आप से बचने के लिए नहीं है।

आप पुराने स्वरूपण तार कि अनुचित हैं प्रयोग किया जाता है।

'attach "{0}" as toMerge'.format("b.db") 

यह नए अजगर संस्करण के बजाय यदि संभव हो तो एक पुरानी दुनिया की इस्तेमाल किया जाना चाहिए से नए प्रारूप स्ट्रिंग सुविधा का उपयोग करता।

"attach ? as toMerge"; cursor.execute(cmd, ('b.db',)) 

यह एक स्ट्रिंग स्वरूपण को पूरी तरह से छोड़ देता है और इसके बजाय SQLite सुविधा का उपयोग करता है, इसलिए यह करने का यह सही तरीका है।

बड़ा लाभ: एसक्यूएल इंजेक्शन

Answer 2

क्योंकि यह बच नहीं रहा है। यदि आपने उपयोगकर्ता इनपुट के साथ b.db को प्रतिस्थापित किया है, तो यह आपको SQL इंजेक्शन के लिए कमजोर छोड़ देगा।

Answer 3

पहले और दूसरे ही परिणाम का उत्पादन है, लेकिन दूसरी विधि पायथन के नए संस्करण में तार फ़ॉर्मेट करने के लिए पसंदीदा है।

हालांकि तीसरे यहां बेहतर दृष्टिकोण क्योंकि यह जोड़ तोड़ तार के बजाय पैरामीटर का उपयोग करता है। यह तेज़ और सुरक्षित दोनों है।