psycopg2占位符引号问题：如何用双引号创建PostgreSQL用户？

1. 能否配置psycopg2用双引号替代单引号？ #

不行。psycopg2的参数化查询是为了处理SQL值（比如密码、字符串数据），这类值用单引号包裹是SQL标准语法；而用户名属于SQL标识符（表名、列名、用户名等），需要用双引号包裹（当包含特殊字符、大写字母或关键字时）。参数化机制本身不负责处理标识符，因此无法通过配置让它自动用双引号替代单引号。

2. 直接嵌入用户名变量时的正确转义方式 #

最安全可靠的方式是使用psycopg2内置的psycopg2.sql模块处理标识符，它会自动完成双引号包裹和特殊字符转义：

import psycopg2
from psycopg2 import sql

# 建立数据库连接
conn = psycopg2.connect("dbname=your_db user=your_admin")
cur = conn.cursor()

# 示例用户名（含特殊字符）
target_user = "user-with-dashes"
# 使用sql.Identifier处理用户名，密码仍用参数化查询
cur.execute(
    sql.SQL("CREATE USER {} WITH PASSWORD %s").format(sql.Identifier(target_user)),
    ("secure_password_123",)
)

conn.commit()
cur.close()
conn.close()

如果一定要手动转义，需要将用户名中的双引号替换为两个双引号，再用双引号包裹，但这种方式容易遗漏边界情况，不推荐：

def escape_db_identifier(name):
    return f'"{name.replace('"', '""")}"'

# 手动转义后的SQL拼接
cur.execute(
    f"CREATE USER {escape_db_identifier(target_user)} WITH PASSWORD %s",
    ("secure_password_123",)
)

3. 其他可行解决方案 #

• 使用符合PostgreSQL标识符规范的用户名：如果用户名仅包含小写字母、数字和下划线，且不以数字开头，那么不需要双引号包裹，直接写在SQL语句中即可（但仍建议用sql.Identifier处理，避免潜在问题）。
• 用CREATE ROLE替代CREATE USER：两者功能等价（CREATE USER是CREATE ROLE LOGIN的别名），处理标识符的规则完全一致，同样可以用上述方法处理用户名。

内容的提问来源于stack exchange，提问作者Roman Newaza