SqliteのレコードにPythonのlistを追加したい

Question

前提

テーブルを作り、listを一括で作ったテーブルのレコードに追加したいのですが↓のコードですとエラーになり、レコードを追加できません。

実現したいこと

listをレコードに追加

該当のソースコード

import sqlite3

db = 'textdb'
conn = sqlite3.connect(db)
cur = conn.cursor()

list = ['aaa','bbb','ccc','ddd','eee','fff','ggg','hhh','iii','jjjj','kkk','lll','mmm']

cur.execute('''CREATE TABLE table_b(subject string)''')

cur.executemany('''INSERT INTO table_b VALUES (?), (list)''')

conn.commit()
conn.close()

試したこと

↓のようにcur.executemany～をfor文にしてもだめでした
for i in list:
cur.execute('''INSERT INTO table_b VALUES (i)''')

補足情報（FW/ツールのバージョンなど）

Python 3.10.5
Sqlite 3

よろしくお願いします。

Comments

[melian]

f-string を使うとよいかと。

for i in list:
cur.execute(f'INSERT INTO table_b VALUES ("{i}")')

[shinobuKouno]

f-string がまだ理解できていませんが、レコードを追加できるようになりました。ありがとうございます

Answer 1

f-string によるクエリ文字構築はお勧めしません。

クエリ中に変数を混ぜる場合、エスケープ処理されていないので、
サーバのプログラム等では、SQLインジェクションといった
外部から不正にデータベースを操作できるような脆弱性に成り得ます。

必ずプレースホルダを使いましょう。

executemany の使い方は、引数のリストを渡すようにします。
引数の要素数はクエリ内のプレースホルダ ? の数を揃える。

cur.executemany('''INSERT INTO table_b VALUES (?)''', 
	[[x] for x in list])

executemany("...", list) と出来ない理由は、list は文字列のリストで、
プレースホルダが複数ある場合は、複数個の引数を要求する為。
要素数が一つでも要素数が一つのリスト（もしくはタプル）にする必要があります。

Comments

[shinobuKouno]

ありがとうございます。
仕組みも教えて頂けたため、次の学習も効率よく進みそうですm(_ _)m