在 MySQLdb，Python 2.7 中使用变量作为字段名

Question

当我用实际的列名替换列变量时，这有效。但是，我确实需要一个变量。当我使用一个变量时，我得到一个 MySQL 语法错误。字段可以是变量吗？如果是这样，错误在哪里？

conn = self.create_connection()
        cur = conn[0]
        db = conn[1]

        cur.execute('''
                        UPDATE coefficients

                        SET %s = %s 
                        WHERE coef_id = %s

                    ''' , (sql_col_name, fgi, ici))  
        db.commit()

好的，这是回溯：

           raise errorclass, errorvalue
_mysql_exceptions.ProgrammingError: (1064, "You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''base_rpm' = 3500 WHERE coef_id = 460' at line 1")

Answer 1

问题在于 execute 方法中的参数替换仅用于数据 - 正如您发现的那样。 这在documentation 中并不十分明确，但它是大多数数据库驱动程序实现它的方式。

需要注意execute和executemany方法中参数替换的意图是将Python对象格式化为数据库的字符串，并应用转义和引号，以便SQL注入变得困难（如果不是不可能），而不必担心在哪里放置转义符。

当您需要使用可变列名（或改变 SQL 语句的其他部分）时，需要使用 Python 的字符串格式化方法格式化字符串 - 并以合适的方式保留生成的字符串以用作合适的数据替换的参数，在第二次替换中（因此类型转换和引用仍然由驱动程序执行）。

为避免必须为参数本身转义%s 条目，您可以使用与% 运算符不同的字符串插值方法，例如，较新的format 字符串方法：

  cur.execute('''
                    UPDATE coefficients
                    SET {} = %s 
                    WHERE coef_id = %s

                '''.format(sql_col_name) ,
                (fgi, ici)) 

此示例显示了使您的示例工作的最简单方法 - 只需将其编写在代码中，使其易于阅读和维护 - 例如，为语句使用额外的变量，并在行之前调用 format打电话给execute。但这只是风格。