面试题：Python字符串插值安全过滤：基础应用

Question

假设你有一个用户输入的字符串变量`user_input`，使用Python的字符串插值（如f - strings）将其插入到一个SQL查询语句模板`query_template = 'SELECT * FROM users WHERE username = {}'`中，并对`user_input`进行安全过滤，防止SQL注入。请写出代码实现。

Answer 1

import sqlite3
user_input = "test_user"  # 假设的用户输入
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
# 使用参数化查询防止SQL注入
query_template = 'SELECT * FROM users WHERE username =?'
cursor.execute(query_template, (user_input,))
results = cursor.fetchall()
conn.close()