SQLite语句中无法识别的令牌

Question

我正在将数据从一个表插入到另一个表，但是由于某种原因，我得到了“无法识别的令牌”。这是代码：

cur.execute("INSERT INTO db.{table} SELECT distinct latitude, longitude, port FROM MessageType1 WHERE latitude>={minlat} AND latitude<={maxlat} AND longitude>= {minlong} AND longitude<= {maxlong}".format(minlat = bottomlat, maxlat = toplat, minlong = bottomlong, maxlong = toplong, table=tablename))

这将转换为以下值：

INSERT INTO db.Vardo SELECT distinct latitude, longitude, port FROM MessageType1 WHERE latitude>=69.41 AND latitude<=70.948 AND longitude>= 27.72 AND longitude<= 28.416

错误代码如下：

sqlite3.OperationalError: unrecognized token: "70.948 AND"

是否存在三个小数点的问题？

这是表的create语句：

cur.execute("CREATE TABLE {site} (latitude, longitude, port)".format(site = site))

Answer 1

请勿通过字符串格式进行SQL查询，请使用驱动程序的功能来准备SQL查询并将参数传递给查询-这样一来，您就可以避免SQL注入，并且可以透明处理不同类型的传递参数：

query = """
    INSERT INTO 
        db.{table} 
    SELECT DISTINCT
        latitude, longitude, port 
    FROM 
        MessageType1 
    WHERE 
        latitude >= ? AND 
        latitude <= ? AND 
        longitude >= ? AND 
        longitude <= ?
""".format(table=tablename)
cur.execute(query, (bottomlat, toplat, bottomlong, toplong))