能否将参数用于PostgreSQL的表名与列名？附SQL查询有效性验证

首先直接给出结论：你提供的这条INSERT语句无效，PostgreSQL不允许将$1、$2这类参数用于表名、列名这类标识符，参数仅能用来替代SQL语句中的值（比如VALUES子句里的内容）。

为什么不行？ #

PostgreSQL的参数化查询逻辑是先解析SQL语句的结构，再绑定参数值。而表名、列名属于语句结构的核心部分，必须在解析阶段就确定，无法用参数动态替换——如果强行用参数代替标识符，解析器会把$1当成一个名为"$1"的表名，而非你期望的参数占位符，最终会因找不到对应表/列而报错。

正确实现方式：动态SQL #

如果需要动态指定表名或列名，必须使用动态SQL构建语句，同时要安全转义标识符以避免SQL注入风险。推荐用PostgreSQL内置的format()函数处理，它会自动完成标识符的转义：

比如在PL/pgSQL函数中可以这么写：

CREATE OR REPLACE FUNCTION dynamic_insert(p_table text, p_col text, p_val1 int, p_val2 int, p_val3 text)
RETURNS SETOF record AS $$
BEGIN
  RETURN QUERY EXECUTE format(
    'INSERT INTO %I (%I, id, created_by, name) VALUES ($1, $2, $3) RETURNING *',
    p_table, p_col
  ) USING p_val1, p_val2, p_val3;
END;
$$ LANGUAGE plpgsql;

这里的%I是format()的标识符占位符，会自动给需要的标识符添加双引号，避免语法错误和注入风险；USING子句用来传递值参数，这部分依然保留了参数化查询的安全性。

如果是在应用层（如Python、Java）生成动态SQL，也要对表名、列名做严格校验或转义，绝不能直接拼接用户输入的内容。

内容的提问来源于stack exchange，提问作者Fred Hors