MySQL语句中pyformat变量/参数可用位置及INTERVAL失效问题

问题场景 #

以下代码执行时抛出ValueError: Could not process parameters错误：

stmt = '''
    SELECT `date_new`, `event`
    FROM `events`
    WHERE `date_new` > TIMESTAMP(DATE_SUB(NOW(), INTERVAL %(days)s day))
'''

args = {'days': 30}

c.execute(stmt, args)

但类似WHERE quantity = %(qty)s的简单参数绑定语句却能正常运行。

需求：明确该问题原因，并基于mysql.connector的官方规则，梳理参数绑定的可用/不可用场景。

问题原因 #

mysql.connector的Pyformat参数绑定本质是独立值的占位符替换，仅支持将占位符替换为完整的SQL值。而MySQL的INTERVAL是特殊语法结构，要求INTERVAL后的数值与单位必须作为语法的一部分存在，驱动无法解析嵌套在该语法内部的占位符——这种场景不属于驱动支持的「独立值替换」范畴。

官方文档规则整理 #

根据mysql.connector官方定义，参数绑定仅适用于以下场景：

• WHERE子句中列的比较值（如WHERE col = %(val)s）
• INSERT/UPDATE语句中的字段赋值（如INSERT INTO tbl (col) VALUES (%(val)s)）
• IN子句中的单个值（批量值需特殊处理）

以下场景不支持参数绑定：

• 嵌套在SQL内置函数或语法关键字的结构内部（如INTERVAL、DATE_ADD的参数段）
• 作为SQL标识符（表名、列名等）
• 作为SQL关键字或语法片段（如ASC/DESC、LIMIT的偏移量）

可行解决方案 #

针对INTERVAL的参数化需求，可采用以下两种安全方式：

1. 预拼接SQL（仅适用于可信参数）
   仅当参数来自可信来源（无SQL注入风险）时使用：

days = 30
stmt = f'''
    SELECT `date_new`, `event`
    FROM `events`
    WHERE `date_new` > TIMESTAMP(DATE_SUB(NOW(), INTERVAL {days} day))
'''
c.execute(stmt)

2. 使用MySQL用户变量中转
   先将参数绑定到用户变量，再在INTERVAL中引用变量：

# 方式1：多语句执行（需连接时设置multi=True）
stmt = '''
    SET @days = %(days)s;
    SELECT `date_new`, `event`
    FROM `events`
    WHERE `date_new` > TIMESTAMP(DATE_SUB(NOW(), INTERVAL @days day))
'''
args = {'days': 30}
c.execute(stmt, args, multi=True)

# 方式2：分两次执行
c.execute('SET @days = %(days)s', {'days': 30})
stmt = '''
    SELECT `date_new`, `event`
    FROM `events`
    WHERE `date_new` > TIMESTAMP(DATE_SUB(NOW(), INTERVAL @days day))
'''
c.execute(stmt)

内容的提问来源于stack exchange，提问作者Dennis Williamson