如何在Python中创建可接收任意数量参数的动态SQL WHERE子句

刚好之前做过类似的需求，给你分享两个实用的实现方案，一个是快速生成字符串片段的轻量版，另一个是更安全的参数化版本，适配生产环境。

轻量版：直接生成SQL字符串片段 #

这个版本适合快速验证或者简单场景，直接拼接出你需要的SQL条件片段：

def generate_date_range_conditions(date_ranges, date_col="business_date"):
    # 存储单个日期范围的条件
    condition_fragments = []
    for range_item in date_ranges:
        start_date = range_item.get("start_date")
        end_date = range_item.get("end_date")
        # 确保两个日期参数都存在，避免生成无效条件
        if start_date and end_date:
            fragment = f"{date_col} between {start_date} AND {end_date}"
            condition_fragments.append(fragment)
    # 用OR连接所有条件，没有条件时返回空字符串
    return " OR ".join(condition_fragments) if condition_fragments else ""

测试一下 #

把你的示例参数传进去：

sample_ranges = [
    {"start_date": 20210705, "end_date": 20210710},
    {"start_date": 20220805, "end_date": 20220810}
]

result = generate_date_range_conditions(sample_ranges)
print(result)
# 输出：business_date between 20210705 AND 20210710 OR business_date between 20220805 AND 20220810

安全版：参数化查询（推荐生产环境使用） #

上面的轻量版直接拼接字符串有SQL注入风险，如果你的参数来自用户输入，强烈建议用参数化方案，生成带占位符的SQL片段，同时单独收集参数值：

def generate_parametrized_date_conditions(date_ranges, date_col="business_date"):
    condition_fragments = []
    params = []
    # 遍历每个日期范围，生成占位符条件
    for range_item in date_ranges:
        start_date = range_item.get("start_date")
        end_date = range_item.get("end_date")
        if start_date and end_date:
            # 这里用%s作为占位符，不同数据库可能有差异：比如SQLite用?，PostgreSQL用%s
            fragment = f"{date_col} between %s AND %s"
            condition_fragments.append(fragment)
            # 把参数值加入列表，后续执行SQL时传入
            params.extend([start_date, end_date])
    # 返回SQL片段和参数列表
    return " OR ".join(condition_fragments), params

测试参数化版本 #

sample_ranges = [
    {"start_date": 20210705, "end_date": 20210710},
    {"start_date": 20220805, "end_date": 20220810}
]

sql_fragment, param_values = generate_parametrized_date_conditions(sample_ranges)
print(sql_fragment)
# 输出：business_date between %s AND %s OR business_date between %s AND %s
print(param_values)
# 输出：[20210705, 20210710, 20220805, 20220810]

使用的时候，把sql_fragment拼到你的完整SQL语句里，然后用数据库驱动（比如pymysql、psycopg2）的参数化执行方法传入param_values，就能安全执行查询了。

扩展提示 #

如果后续需要支持其他类型的条件（比如等于、大于），可以给函数加个参数控制条件类型，或者把生成单个条件的逻辑抽成独立函数，扩展性会更好。

内容的提问来源于stack exchange，提问作者OrganicMustard