在当今的数字化时代，数据安全变得越来越重要。SQL 注入攻击是一种常见的安全威胁，它可以通过在 SQL 查询中插入恶意代码来获取敏感信息或破坏数据库。为了防止 SQL 注入攻击并确保数据安全，我们应该使用参数化查询。
参数化查询是一种安全的查询方法，它将查询参数与 SQL 语句分开。这样，即使查询参数包含恶意代码，也不会被解释为 SQL 命令，从而避免了 SQL 注入攻击。
在 Python 中，我们可以使用 pyodbc 库来执行参数化查询。pyodbc 是一个流行的 Python 数据库连接库，它支持多种数据库系统，包括 Microsoft SQL Server、Oracle、MySQL 等。
要使用参数化查询，我们首先需要创建一个数据库连接。以下是一个使用 pyodbc 连接到 Microsoft SQL Server 的示例代码：
python
import pyodbc
# 连接到 SQL Server 数据库
conn = pyodbc.connect('DRIVER={SQL Server};SERVER=localhost;UID=sa;PWD=your_password;DATABASE=your_database')
接下来，我们可以创建一个游标对象，并使用占位符（如?或%s）来表示参数。以下是一个示例代码：
python
# 创建一个游标对象
cursor = conn.cursor()
# 执行参数化查询
sql = 'SELECT * FROM users WHERE name =? AND age =?'
param = ('John', 25)
cursor.execute(sql, param)
在上面的代码中，我们使用了两个占位符（?）来表示参数。在执行查询时，我们将实际参数值作为一个元组传递给 execute 方法。pyodbc 会将参数值与占位符进行匹配，并将其替换为实际的 SQL 查询命令。
使用参数化查询的好处是，它可以防止 SQL 注入攻击。即使查询参数包含恶意代码，也不会被解释为 SQL 命令，而是作为普通的字符串参数。这样，数据库系统就可以正确地处理查询参数，而不会执行恶意代码。
此外，参数化查询还可以提高查询性能。数据库系统可以缓存参数化查询的计划，从而避免每次执行查询时都重新编译查询计划。这可以提高查询的执行速度和效率。
总之，为了在 Python 中防止 SQL 注入攻击并确保数据安全，我们应该使用参数化查询。pyodbc 库提供了一种简单而有效的方法来执行参数化查询，它可以帮助我们保护数据库免受 SQL 注入攻击，并提高查询性能。