Уж сколько раз твердили миру

И тем не менее, подобного рода жесть можно встретить в повседневно используемых проектах: https://github.com/dmishe/django-south/blob/master/south/db/generic.py#L520

Еще раз: нельзя передавать параметры в запрос конкатенацией строк или форматированием. Запрос сам по себе, параметры – сами по себе.

Во-первых, это не безопасно:

Во-вторых, такой вариант не предусматривает адаптацию типов, т.е. когда нативный список [1, 2, 3] переводится в литерал вида ARRAY[1, 2, 3].

Не делайте так.