规避写法 username = input("用户名:") users = User.objects.raw("select * from user where username='{}'".format(username)) 这时在进行input输入验证的时候,可直接输入sdkjfksjdf’ or '1,通过验证,并获取很多用户信息。 防止sql注入 users = User.objects.raw("select * from user where username=%s", ["'sddfsdf' or '1'"])