sqli中的参数化StartWith查询

Question

我正在使用sqlite3的python绑定，并尝试执行类似这样的查询

表1

col1 | col2 
------------
aaaaa|1
aaabb|2
bbbbb|3

在测试.py在

^{pr2}$

有没有安全的方法？在

预期行为：

>>> get_rows('aa')
[('aaaaa', 1), ('aaabb', 2)]

Answer 1

在SQL中，+用于添加数字。 您的SQL以... WHERE col1 LIKE 0结尾。在

要串联字符串，请使用||：

db.execute(
    "SELECT * FROM table1 WHERE col1 LIKE ? || '%'",
    [ugc],
)