这一页讲 SQL 里的值该怎么传进去。
这一页只查不改，一句 commit 都用不着。
参数化是课件没讲的一种写法，也是真正该用的那一种。
% 是 Python 在拼字符串，跟数据库没有关系。
拼完的 sql 是一句完整的字符串，服务器收到的就是它。
AGE 大写也认，SQL 的关键字与列名不区分大小写。
把 20 换成一个用户输入的值，这句还安全吗？
%s 留在原地，值单独放在后面那个元组里。
参数化的 %s 不加引号，是字符串还是数字由驱动去判断。
| 写法 | 值在哪儿 |
|---|---|
| % 拼串 | 拼进 SQL |
| execute 两参 | 单独送 |
有几个 %s 就要给几个值，多一个少一个都会报错。
Python 里一个元素的元组，逗号不能省。
(20) 就是数字 20，加个逗号才变成只有一个元素的元组。
报错那句话说得很直白：it must be of type list, tuple or dict。
换成 [20] 行不行？
O'Brien 这种名字，是拼串写法最经典的翻车点。
拼串把用户输入直接当成了 SQL 的一部分，引号一多就变了意思。
这就是 SQL 注入的原理，参数化能挡住它，是这一章最该带走的一条。
如果名字是 ' OR '1'='1 会查出几行？
SQL 只写一遍，值放在一个列表里。
executemany 一次发一批，rowcount 给的是这一批的总行数。
这里故意 rollback，所以最后查出来是空列表，这一题能反复跑。
把 rollback 换成 commit，再跑一遍会报什么？
把专业名存进一个变量，再传进去。
同一句 SQL 换个值再跑一遍，这就是参数化最实用的地方。
这一题只查不改，跑几遍都一样。
把 maj 换成一个学生自己输入的字符串，还要注意什么？