使用pymssql参数化表名查询报错：语法错误问题咨询

问题根源 #

pymssql的参数化查询机制是为SQL值参数设计的，它会自动对传入的参数值添加引号并做转义处理。当你把表名Accounts通过%(sqlTableName)s传入时，实际生成的SQL会变成：

SELECT * 
FROM 'Accounts',Ident  
WHERE
 'Accounts'.Pat_ID1 = Ident.Pat_ID1 AND
 Ident.IDA = 2300000

SQL语法中，表名作为标识符不能被单引号包裹，这就直接导致了语法错误，也就是你看到的Incorrect syntax near 'Accounts'。

解决办法 #

表名这类SQL标识符无法通过参数化机制传递，你需要用字符串拼接的方式先替换表名，再执行参数化查询，但必须严格防范SQL注入风险：

1. 先验证传入的表名是否在允许的白名单内，拒绝非法输入：

allowed_tables = ['Accounts', '其他合法表名']
sql_table_name = params['sqlTableName']
if sql_table_name not in allowed_tables:
    raise ValueError("无效的表名")

2. 用字符串格式化替换表名后，再对值参数使用安全的参数化查询：

query = f"""
SELECT * 
FROM {sql_table_name},Ident  
WHERE
 {sql_table_name}.Pat_ID1 = Ident.Pat_ID1 AND
 Ident.IDA = %(patient_id)s
"""
cursor.execute(query, {'patient_id': params['patient_id']})

这样生成的SQL会使用正确的无引号表名，同时值参数依然通过安全的参数化方式传递，既解决了语法问题，又避免了SQL注入风险。

内容的提问来源于stack exchange，提问作者Y. P. Peng