Ошибка записи в БД?

Question

[semen7907]

Подскажите как исправить данную ошибку, мне нужно просто записать данные из переменных в БД

mycursor = mydb.cursor()
User = "test"
UserName= "test"
Number= "tes"

instr = "'%s', '%s', '%s'" % (User, UserName, Number)
sql = "insert into info (PC, User, UserName, Number) values ( NULL, %s, %s, %s)"
mycursor.execute(sql,instr )
mydb.commit()

Ошибка: : You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '%s, %s, %s)' at line 1

Answer 1

[Daniil Markelov]

Зачем создавать так много переменных?

mycursor.execute('''INSERT INTO INFO(User, UserName, Number) VALUES (%s, %s, %s)''' % (User, UserName, Number))

Comments

[Сергей Горностаев]

А потом кто-нибудь заведёт себе username вида 'pwned', 0); drop table users; select %s;

Answer 2

[Сергей Горностаев]

Проблема в том, что вы не различаете операцию форматирование строки от передачи параметров в подготовленный запрос. Должно быть так: mycursor.execute(sql, (User, UserName, Number))

P.S. Соблюдайте PEP8.