Формат% s "% vs" {0} ". Format () vs"? "

 "attach \"%s\" as toMerge" % "b.db" 

Вы должны использовать ' вместо " , поэтому вам не нужно бежать.

Вы использовали старые строки форматирования, которые устарели.

 'attach "{0}" as toMerge'.format("b.db") 

В этом случае используется новая форматная строка с более новыми версиями Python, которые следует использовать вместо старой, если это возможно.

 "attach ? as toMerge"; cursor.execute(cmd, ('b.db', )) 

Это полностью исключает форматирование строк и вместо этого использует функцию SQLite, поэтому это правильный способ сделать это.

Большое преимущество: никакого риска SQL-инъекции

Первый и второй производят одинаковый результат, но второй метод предпочтительнее для форматирования строк в новых версиях Python.

Однако третий подход лучше, потому что он использует параметры вместо манипулирования строками. Это быстрее и безопаснее.

Потому что это не ускользнуло. Если вы заменили b.db на пользовательский ввод, это оставит вас уязвимым для SQL-инъекции.