SQL запрос не работает

1.

Вот этот код не делает ничего:

import psycopg2 as dbapi2

db = dbapi2.connect( database = dbname, user = dbuser )
cur = db.cursor()

cur.execute ("INSERT INTO users (username, password) VALUES ('" + newuser + "', '" + newpasswd + "')");

cur.close()
db.close()

Даже ничего не возвращает из запроса. При этом SELECT замечательно работает.

2. как сделана защита от SQL Injection? Можно ли в Python DB API составлять запросы как-то по другому а не прямым прописыванием текстового SQL-запроса? Или есть какой-то красивый метод для заэскейпливания переменных перед вставкой в запрос?

3. как передать в запросе бинарные данные?

Или ткните полной вменяемой докой по SQL API? Какие-то обрывки и домыслы только вижу