[pyar] Preguntonta web.py db.select

[Andrés Gattinoni]

2010/8/20 Emanuel Herrmann <emanuelsantiaggoherrmann en gmail.com>:
> esto es en un POST
> n=web.input().nombre
> res= db.select('user',where = "nombre = $n ")
> como hago para que me tome el valor que hay en n para la consulta??

supongo que así:

res= db.select('user',where="nombre = %s " % n)

lo que no sé (porque desconozco el framework) es si en algún momento
se escapa el contenido de n... porque sino hacerlo de esa manera puede
permitir hacer SQL Injection [0].

[0] http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL