问题内容
在一个项目中，我正在使用 duckdb 对数据帧执行一些查询。对于其中一个查询，我需要将一些用户输入添加到查询中。这就是为什么我想知道在这种情况下是否可以进行 sql 注入。用户是否可以通过输入损害应用程序或系统？如果是这样，我该如何防止这种情况发生？看来duckdb没有用于数据帧查询的preparedstatement。
我已经在文档（https://duckdb.org/docs/api/python/overview.html）中查找过，但找不到任何有用的东西。方法 duckdb.execute(query,parameters) 似乎只适用于具有真正 sql 连接的数据库，而不适用于数据帧。
stackoverflow 上还有一个关于此主题的问题（syntax for duckdb > python sql with parameter\variable），但答案仅适用于真正的 sql 连接，并且带有 f 字符串的版本对我来说似乎不安全。
这是一个小代码示例来说明我的意思：
网上书店系统(北大青鸟内部)
下载
一个简单的网上书店系统，有图书管理、会员注册、评论发表、购物车等基本应用，后台有：定单管理、评论管理、用户管理、图书管理等功能模块。为北大青鸟学员练习之用，可以做为入门者的学习参考之用。采用了VS2005的master模板DB_51aspx下为Sql数据库文件，附加即可，注意：除修改web.config中的Sql连接信息以外还要对App_Code/Class1.cs中的Sql登录信息也要做对应的修
import duckdb
import pandas as pd
df_data = pd.DataFrame({'id': [1, 2, 3, 4], 'student': ['student_a', 'student_a', 'student_b', 'student_c']})
user_input = 3 # fetch some user_input here
# How to prevent sql-injection, if its even possible in this case?
result = duckdb.query("SELECT * FROM df_data WHERE id={}".format(user_input))
那么您将如何解决这个问题呢？ sql注入是否可能？感谢您的帮助，如果您需要更多信息，请随时询问更多详细信息！
编辑：修复了代码中的语法错误
正确答案
看来是有可能的：
>>> duckdb.execute("""SELECT * FROM df_data WHERE id=?""", (user_input,)).df()
id student
0 3 student_b 
