Lassen Sie Ihre Abfrage Parameter verwenden. Viel geringere Wahrscheinlichkeit einer Injektion:
cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))
Gutschrift (und weitere Informationen) hier:Wie verwende ich Variablen in einer SQL-Anweisung in Python?
Außerdem hat Dan Bracuk Recht - stellen Sie sicher, dass Sie Ihre Parameter validieren, bevor Sie die SQL ausführen, falls Sie dies noch nicht getan haben
