使用pg8000执行带参数SQL遇$2语法错误，求排查

你的问题出在把SQL条件片段当作参数传给了cursor.execute()。参数化查询里的%s是用来替换数据值的，不是用来拼接SQL语句结构的。当你把filters（比如AND DATE(sample_date) >= '2025-02-04'）作为参数传入时，pg8000会把它当成一个普通字符串值处理，最终生成的SQL会变成：

SELECT *
FROM samples
WHERE account_id = $1
AND delete_date IS NULL
$2
ORDER BY date DESC

这显然不符合SQL语法，所以触发了syntax error at or near "$2"的报错。

正确实现方式 #

应该动态拼接SQL语句的结构，把start_date作为单独的参数传入，既避免语法错误，又能防止SQL注入：

import pg8000

account_id = 1234
start_date = query_string_params['start-date'] if 'start-date' in query_string_params else None

# 初始化SQL片段和参数列表
sql_segments = [
    """
    SELECT *
    FROM samples
    WHERE account_id = %s
    AND delete_date IS NULL
    """
]
params = [account_id]

# 动态添加日期过滤条件
if start_date is not None:
    sql_segments.append("AND DATE(sample_date) >= %s")
    params.append(start_date)

# 拼接完整SQL并添加排序
sql_segments.append("ORDER BY date DESC")
final_sql = " ".join(sql_segments)

cursor.execute(final_sql, tuple(params))

关键提醒 #

永远不要用f-string或字符串格式化直接把变量拼进SQL语句里，这种做法存在严重的SQL注入风险。参数化查询才是处理动态数据的安全标准方式。

内容的提问来源于stack exchange，提问作者hugo