Une requête paramétrée sépare le code SQL des valeurs : la requête est envoyée avec des emplacements, et les valeurs sont transmises à part et traitées comme des données, jamais comme du SQL. C'est la défense principale contre l'injection SQL.
Exemple
cur.execute("SELECT * FROM users WHERE name = %s", (nom,))