python / postgresql/psycopg2のユーザー入力から「orderby」句を安全に指定する

PythonのDBAPIのエンティティ名（テーブル/列など）は、変数が想定されているように、プレースホルダー処理を介して実行しないでください。独自のフォーマットを行う必要があります：

'select * from table offset %s limit %s order by %s' % (0,5,'sort_column')

ただし、WHERE var = %sには適切なエスケープ/プレースホルダー関数を使用してください など...