raw sql yazacaksan böyle kullanabilirsin. orm kullanacaksan zaten gerek yok. birde model doğrulaması yaparsan ekstra güvenlik olur.

cursor.execute("SELECT * FROM users WHERE username = %s'", (username, ));