别再手动拼接 SQL 了，Python 这个数据库工具包，既安全又高效。
写代码的时候，最怕什么？我最怕看到这样的代码： 拼 SQL 字符串。 你肯定也遇到过。需求来了，加一个查询条件，就在原来的 SQL 后面用加号或者 f-string 塞进去一段。感觉挺方便，其实埋了大雷。
我有个同事，就吃过这种亏。他写了一个根据用户输入关键词查询商品的功能。代码大概长这样：
sql = 'SELECT  FROM products WHERE name LIKE '%' + user_input + '%''
看着简单吧？结果上线第一天，有个用户输入了一个带单引号的词，整个系统就崩了。更惨的是，后来发现这个接口被人用 SQL 注入攻击了，数据库里的数据差点被删光。老板差点把他开了。
从那以后，我就再也不用手动拼接 SQL 了。后来发现了一个好东西， Python 里的 SQLAlchemy 和它的扩展工具 。用了它之后，心一下子就踏实了。
这东西好在哪？举个例子。同样要查询某个关键词，用工具包写是这样的：
session.query(Product).filter(Product.name.like(f'%{keyword}%')).all()
你看， 不用拼字符串，不用关心单引号的问题。 它内部会自动处理这些麻烦事。用户输入什么乱七八糟的符号都没关系，它会把输入当成普通数据对待，不会当成 SQL 指令。
安全是一方面，效率也很重要。以前改一个查询逻辑，我得从头到尾翻代码，找哪里拼了条件。条件多了，少加一个空格，多写一个括号，查半天都查不出来。 用工具包之后，代码变得很结构话。 增删改查，每个操作对应一个方法，代码看起来清清楚楚。
另一个常见的场景是分页。手动拼接 SQL 的时候，分页你得自己算 LIMIT 和 OFFSET，写错了还不知道。用工具包，一个 .limit().offset() 就搞定了。或者直接用 .paginate() 方法，它会返回给你当前页的数据，还会告诉你总共有多少页，省了多少力气。
还有事务处理。以前处理多表操作，你得手动写 BEGIN、COMMIT、ROLLBACK。忘写了，数据就乱了。工具包让你用 with 语句管理数据库会话，异常自动回滚， 你再也不用担心数据不一致。
我认识的一个老程序员，干了十几年，看到新同事还在手动拼接 SQL，急得拍桌子。他说：“你这是拿饭碗开玩笑。” 确实，现在数据库安全漏洞太多了，没有哪个公司愿意因为一句没写好的 SQL 丢了核心数据。
刚开始用工具包可能会觉得麻烦，要学它的语法，要配置连接。用习惯之后，你会发现它其实帮你想好了很多事。连数据库连接池都自动管理好了，不需要自己再造轮子。
算一笔账。假设你每天写 10 条查询，每条手工拼接节省 1 分钟，一天省 10 分钟。但那几条 SQL 出了问题，排查要花 3 个小时。哪个合算，不用我多说。
安全这东西，不能靠运气。拼 SQL 省下来的那点时间，迟早要还回去。 用工具包不是装时髦，是给自己留后路。与其提心吊胆地写代码，不如换个更稳当的办法。你说是不是这个理？