prepared statement(sqlite3)

Question

prepared statementがうまくいかない。

Flaskを使用している、簡易的なDB操作の勉強をしています。
SQLを実行する際に、SQLインジェクション対策でprepared statementを実装しようとしましたが、
うまくいきません。
ネットで調べても、原因がわかりませんでした。

発生している問題・エラーメッセージ

stackTraceで出力しています。
内容的には、？が問題かと思いましたが、％Sなどに変えても、駄目でした。

c.execute(sql,(para1, para2, para3))
sqlite3.OperationalError: near "?": syntax error

該当のソースコード

以下、抜粋です。
コメントアウトしている箇所は、prepared statementを使わずに、実行した場合です。
こちらは、うまく処理されました。

def delete_db(para1, para2, para3):
    try:
        conn = get_db()
        #sql = "delete from " + para1 + " where " + para2 + " = " + para3
        sql = "delete from ? where ? = ?"
        c = conn.cursor()
        #c.execute(sql)
        c.execute(sql,(para1, para2, para3))
        conn.commit()

どこが原因か分かる方がいましたら、教えていただきたいです。
よろしくお願いします。

Answer 1

from句をパラメータ化できるようなRDBMSやミドルウェアは、普通には存在しないと思います。
使い方は特に間違っていないでしょう。