为何SQLAlchemy查询中变量显示占位符%(department_1)s而非实际值？

问题描述 #

从URL获取的变量在控制台打印时能正常显示实际值，但用于SQLAlchemy查询时，生成的SQL语句却显示占位符（如%(department_1)s）而非变量真实值：

相关代码示例 #

获取变量并打印：

mgr = request.args.get('mgr')  # 从查询字符串获取'mgr'参数值
dept = request.args.get('dept')  # 从查询字符串获取'dept'参数值
    
print("Manager",mgr)
print("Department:", dept)

SQLAlchemy查询代码：

employee_data = EmployeeBio.query.filter(EmployeeBio.department == dept, func.lower(EmployeeBio.line_manager).ilike(f'%{mgr.lower()}%')).all()

生成的SQL语句：

SELECT employee_bio.employee_id AS employee_bio_employee_id, employee_bio.name AS employee_bio_name, employee_bio.designation AS employee_bio_designation, employee_bio.department AS employee_bio_department, employee_bio.years_in_usf AS employee_bio_years_in_usf, employee_bio.is_manager AS employee_bio_is_manager, employee_bio.line_manager AS employee_bio_line_manager, employee_bio.is_cxo AS employee_bio_is_cxo, employee_bio.cxo AS employee_bio_cxo
FROM employee_bio
WHERE employee_bio.department = %(department_1)s AND lower(employee_bio.line_manager) ILIKE %(lower_1)s

原因解释 #

这是SQLAlchemy参数化查询的正常设计行为，核心作用有两点：

• 杜绝SQL注入风险：直接将变量拼接进SQL语句会导致恶意注入漏洞，参数化查询会由数据库驱动安全地完成占位符与实际值的替换
• 优化查询性能：数据库可以缓存参数化查询的执行计划，重复执行同类查询时无需重新编译，提升效率

你看到的带占位符的SQL只是查询的"模板"，实际执行时SQLAlchemy会把dept、mgr等变量值作为独立参数传递给数据库，数据库会自动完成占位符的替换工作。

如何查看实际执行的参数值 #

如果需要验证参数是否正确传递，可以通过两种方式调试：

1. 开启SQLAlchemy的echo模式：创建数据库引擎时设置echo=True，控制台会打印出完整的执行SQL及对应参数值

engine = create_engine('你的数据库连接URL', echo=True)

2. 手动编译查询并嵌入参数（仅用于调试）：

query = EmployeeBio.query.filter(EmployeeBio.department == dept, func.lower(EmployeeBio.line_manager).ilike(f'%{mgr.lower()}%'))
compiled_stmt = query.statement.compile(compile_kwargs={"literal_binds": True})
print(compiled_stmt)

注意：literal_binds=True会直接将参数值嵌入SQL，仅适合调试场景，生产环境禁止使用，避免引入SQL注入风险。

内容的提问来源于stack exchange，提问作者noc analysis