使用变量的MariaDB DELETE语句执行失败，求安全实现方案

参数化查询的占位符?仅适用于SQL语句中的数据值（比如WHERE id = ?里的id值），不能用来替换数据库名、表名这类SQL标识符——这就是你用?.?触发语法错误的原因。

要安全实现动态库表名的DELETE操作，你可以用MariaDB Python驱动提供的标识符转义方法，对动态变量进行转义后再拼接SQL，既避免注入风险，又能正常执行语句：

import mariadb

# 初始化连接
conn = mariadb.connect(
    user=DB_USER,
    password=DB_PASSWORD,
    host=DB_HOST,
    port=DB_PORT,
    database=DB_NAME
)
cur = conn.cursor()

try:
    # 用驱动内置方法转义数据库名和表名，防止注入和语法错误
    escaped_db = conn.escape_identifier(DB_NAME)
    escaped_table = conn.escape_identifier(TABLE_TO_CLEAR)
    
    # 拼接安全的SQL语句
    sql = f"DELETE FROM {escaped_db}.{escaped_table};"
    cur.execute(sql)
    conn.commit()  # 必须提交事务，否则操作不会生效
except mariadb.Error as e:
    print(f'Error: {e}')
    conn.rollback()  # 出错时回滚事务
finally:
    # 清理资源
    cur.close()
    conn.close()

关键说明： #

• escape_identifier()会严格按照MariaDB的规则处理标识符：比如对包含特殊字符、SQL关键字的库/表名添加反引号，同时过滤注入风险字符，比手动拼接安全得多。
• 即使你的库表名来自可信来源（比如内部配置），遵循这个最佳实践也能避免潜在的语法错误（比如表名包含空格的情况）。
• 务必调用conn.commit()，MariaDB默认关闭自动提交，不提交的话DELETE操作不会写入数据库。

内容的提问来源于stack exchange，提问作者NewAtair