在Python的psycopg2中如何将待查询列作为参数传入（支持未知数量的列）

这个问题我之前也踩过坑！psycopg2的常规参数化（就是你用%(xxx)s的方式）是专门用来处理SQL值的，像列名、表名这类SQL标识符根本没法用这种方式传递——它会把你传入的列名字符串当成一个普通的字符串字面量，而不是解析成列名，所以你的写法自然得不到想要的结果。

那正确的做法是什么呢？得用psycopg2自带的sql模块来安全地拼接动态SQL标识符，既能支持任意数量的列，还能避免SQL注入风险，具体步骤如下：

1. 先把列名整理成列表
   如果你的列名是逗号分隔的字符串，先拆分并清理成纯列名列表：

   columns_to_select = "errors, requests"
   # 拆分字符串，同时去掉每个列名前后的空格
   metric_cols = [col.strip() for col in columns_to_select.split(",")]
   

   如果本来就是列表（比如metric_cols = ["errors", "requests"]），这一步可以直接跳过。

2. 用psycopg2的sql模块组装查询语句
   我们需要用sql.Identifier来包装每个列名（它会自动处理列名中的特殊字符或关键字，避免语法错误），再用sql.SQL和join来把这些列名拼接成SQL片段：

   from psycopg2 import sql
   
   # 构建SQL模板，用{}作为动态部分的占位符
   sql_query = sql.SQL("SELECT bucket, {} FROM metrics").format(
       # 把列名列表转成带逗号分隔的SQL标识符片段
       sql.SQL(', ').join(map(sql.Identifier, metric_cols))
   )
   

3. 执行组装好的查询
   直接把组装好的sql_query传给cursor.execute就行，不需要再传参数字典：

   cursor.execute(sql_query)
   

这样执行出来的SQL就是你想要的：SELECT bucket, errors, requests FROM metrics，而且不管你要选1列还是10列，这个写法都能完美适配。

⚠️ 这里一定要注意：绝对不要直接用字符串拼接的方式（比如f"SELECT bucket, {columns_to_select} FROM metrics"）来生成SQL！如果列名是来自用户输入的内容，这种写法会直接暴露在SQL注入的风险下，而用sql模块的方法是安全的，它会自动帮你做转义处理。

备注：内容来源于stack exchange，提问作者Moshe Shaham