使用Python更新SQLite3数据库filename字段失败，寻求解决方案

你的代码存在几个关键问题，导致SQLite数据库更新操作失败：

• SQL语法错误与注入风险：直接用f-string拼接SQL语句时，字符串类型的文件名没有添加单引号，SQL解析器会将文件名识别为标识符而非字符串，引发语法错误；同时这种写法存在SQL注入漏洞。
• 未提交事务：SQLite默认不会自动提交修改，执行UPDATE语句后必须调用conn.commit()，才能将更改持久化到数据库。
• 资源未正确释放：conn.close()写在return语句之后，函数提前返回时连接不会被关闭，可能造成资源泄漏。

修正后的代码 #

def update(self, old_name, new_name):
    db_path = os.path.join(self._path, "files.db")
    # 使用with语句自动管理连接，无需手动关闭
    with sqlite3.connect(db_path) as conn:
        cursor = conn.cursor()
        try:
            # 参数化查询，避免语法错误与SQL注入
            query = "UPDATE files SET filename = ? WHERE filename = ?;"
            cursor.execute(query, (new_name, old_name))
            # 提交事务保存修改
            conn.commit()
            return True
        except Exception as e:
            # 异常时回滚事务，保证数据一致性
            conn.rollback()
            return e

关键改进说明 #

• 参数化查询：用?作为占位符，将变量作为第二个参数传入cursor.execute()，SQLite会自动处理字符串的引号和转义，彻底避免语法错误和注入风险。
• 事务控制：执行commit()提交修改，异常时执行rollback()回滚，确保数据库操作的原子性。
• 自动资源管理：with语句会在代码块结束后自动关闭数据库连接，无需手动调用close()，避免资源泄漏问题。

内容的提问来源于stack exchange，提问作者Itay Fishel