在执行SQL语句时，可以通过传入参数的方式将动态数据传递给数据库。这种方式可以提高代码的可读性、安全性、可维护性和性能。
参数化查询的好处
使用参数化查询具有以下好处：
**可读性**：参数化查询将SQL语句和数据值分开，从而提高了代码的可读性。
**安全性**：参数化查询可以防止SQL注入攻击，因为数据值被视为数据而不是SQL的一部分。
**可维护性**：当需要更改SQL语句时，使用参数化查询可以轻松地修改参数部分，而无需重写整个语句。
**性能**：参数化查询可以提高性能，因为数据库可以预编译SQL语句并缓存执行计划。
使用参数化查询
要使用参数化查询，可以使用以下步骤：
1. **准备一个SQL语句**：在SQL语句中使用占位符 (?) 来表示参数。例如：SELECT * FROM users WHERE username = ?
2. **创建语句对象**：使用数据库API创建一个语句对象，并指定准备好的SQL语句。
3. **绑定参数**：使用语句对象的 将参数值绑定到占位符。例如：statement.bind_param('s', 'john')
4. **执行查询**：执行语句对象以执行查询。
示例
以下是一个使用Python执行参数化查询的示例：
import mysql.connector
连接到数据库
cnx = mysql.connector.connect(user='root', password='password', host='localhost', database='my_database')
创建一个游标
cursor = cnx.cursor()
准备SQL语句
sql = "SELECT * FROM users WHERE username = ?"
绑定参数
cursor.execute(sql, ('john',))
获取查询结果
result = cursor.fetchall()
关闭游标和连接
cursor.close()
cnx.close()
在这个示例中，占位符 (?) 被参数 'john' 绑定，然后执行查询并检索结果。
