Python SQLite独立查询模块execute()函数报错求助

你的代码核心问题是SQL语句构造错误和参数传递方式不符合规范，导致execute()执行时触发语法报错，同时存在SQL注入风险，以下是具体问题和修复方案：

核心错误点 #

1. SQL字符串格式错误：拼接SQL时误加了多余单引号，最终生成的SQL会变成类似'INSERT INTO table (col1) VALUES(?)',(val1)的非法格式，完全不符合SQL语法要求。
2. 参数传递方式错误：你把参数直接拼接到SQL字符串中，不仅容易因数据类型（如字符串含引号）触发语法错误，还会引发SQL注入风险，SQLite的execute()支持更安全的参数化传参方式。
3. 冗余的拼接逻辑：用循环拼接列名和占位符的方式繁琐且易出错，用字符串join方法更简洁可靠。

修复后的代码 #

import sqlite3
from PyQt5.QtWidgets import QMessageBox

class Db:
    def __init__(self):
        pass

    def DbConnection(self, databaseName, databaseTable, tableColumnValueList):
        try:
            print(databaseName, databaseTable, tableColumnValueList)
            # 使用with语句自动管理连接和游标，无需手动关闭
            with sqlite3.connect(databaseName) as connection:
                cursor = connection.cursor()
                # 获取表列名
                cursor.execute(f"PRAGMA table_info({databaseTable});")
                columns_info = cursor.fetchall()
                column_names = [info[1] for info in columns_info]
                print("Column names:", column_names)

                # 跳过第一个列（通常是自增主键id，若无需跳过可删除[1:]）
                target_columns = column_names[1:]
                # 用join拼接列名，生成(col1, col2, ...)格式
                columns_str = ", ".join(target_columns)
                # 生成对应数量的占位符?, ?, ...
                placeholders = ", ".join(["?"] * len(target_columns))

                # 正确构造SQL语句
                query = f"INSERT INTO {databaseTable} ({columns_str}) VALUES ({placeholders})"
                print(query)
                # 参数化执行：把参数列表作为第二个参数传入execute
                cursor.execute(query, tableColumnValueList)
                connection.commit()
        except Exception as e:
            # QMessageBox.about(self, "Exception", f'Error: "{e}"')
            print(e)

关键优化说明 #

• 参数化查询：cursor.execute(query, tableColumnValueList)直接传递参数列表，SQLite会自动处理参数转义，避免语法错误和SQL注入。
• 简化字符串拼接：用join方法替代循环拼接，代码更简洁且不易出错。
• 自动资源管理：with语句会在代码块结束后自动关闭连接和游标，避免资源泄漏。
• 主键列处理：如果你的表第一个列是自增主键（如id INTEGER PRIMARY KEY AUTOINCREMENT），跳过它是合理的；若无需跳过，删除target_columns = column_names[1:]中的[1:]即可。

内容的提问来源于stack exchange，提问作者Arun Agarwal