如何去除元组末尾逗号以解决PostgreSQL IN子句SQL语法错误

问题根源 #

你直接把Python元组转成字符串拼进SQL语句，单元素元组的末尾逗号会触发PostgreSQL语法错误。更关键的是，手动拼接SQL字符串存在严重的SQL注入风险，这是开发中必须杜绝的操作。

正确解决方案：使用psycopg2参数化查询 #

psycopg2原生支持将列表/元组作为IN子句的参数，会自动处理格式问题，同时彻底规避SQL注入风险。修改后的代码如下：

# Connect to the PostgreSQL database
connection = psycopg2.connect(**db_params)
print("Connection successful, for update")
logging.info("Connection successful for update")

# 无需转成tuple，直接使用原列表即可
transaction_ids = transaction_ids_list
print("IDs list:", transaction_ids)

# 直接保留datetime对象，无需手动转字符串
current_datetime = datetime.now()

# 检查列表非空后执行更新
if transaction_ids:
    update_query = """
        UPDATE SCHEMA_X.TABLE124
        SET PUBLISHED = %s,
        EVENT_PUBLISHED = TRUE
        WHERE TRANSACTION_ID IN %s;
    """
    
    with connection.cursor() as cursor:
        # 将参数以元组形式传入，psycopg2会自动处理IN子句格式
        cursor.execute(update_query, (current_datetime, tuple(transaction_ids)))
        
    connection.commit()
    print("Update successful")
else:
    print("IDs list is null or empty. No update performed.")

关键修改说明 #

• 放弃手动拼接SQL：用%s作为占位符，所有变量通过cursor.execute的第二个参数传入，psycopg2会自动完成类型转换和格式适配。
• IN子句自动处理：把列表转成tuple后作为参数传入，psycopg2会根据元素数量生成正确的SQL语法——单元素时不会出现多余逗号，多元素时也能正确拼接。
• 时间参数优化：直接传入datetime对象，不需要手动转字符串，既避免格式错误，又提升安全性。

为什么原写法出错？ #

Python中tuple(['5b678ujhgfr'])会生成('5b678ujhgfr',)，转成字符串拼进SQL后就是IN ('5b678ujhgfr',)，PostgreSQL会把末尾的逗号判定为语法错误。而参数化查询会自动将单元素元组处理为IN ('5b678ujhgfr')，完全符合SQL语法规范。

内容的提问来源于stack exchange，提问作者AJR