Flask插入用户数据到SQLite时报错sqlite3.OptionalError: near 'years'语法错误

核心语法错误：INSERT语句不能加WHERE子句 #

你的query1里写了WHERE user_id = :user_id，但INSERT语句不支持WHERE子句——INSERT是用来新增行的，WHERE是过滤现有行的语法，这直接导致SQL语法错误，这大概率是报错的根源（错误提示里的"years"可能是某个字段值未加引号被SQL解析成了标识符，和这个语法错误叠加导致的提示偏差）。

字段与值不匹配问题 #

检查表结构和INSERT的字段列表：

• 你插入的字段里有bathtube，但代码里传的是bath变量，需要确认bath是否对应bathtube的正确值
• 表结构里有shower字段，但你插入的是shower_time，如果shower字段没有默认值，插入时会因为缺失字段报错

主键冲突风险 #

water_use表的主键是user_id，如果该用户已经有记录，直接INSERT会触发主键重复错误，应该根据需求选择：

• 如果要覆盖原有记录：用INSERT OR REPLACE INTO ...
• 如果要更新原有记录：改用UPDATE water_use SET ... WHERE user_id = ?

安全与语法规范问题 #

不要用str.format()拼接SQL语句，这会导致SQL注入风险，还会因为值未加引号引发语法错误（比如某个变量值是years，直接拼进去会被SQL当成关键字/标识符，导致syntax error near "years"）。应该用SQLite的参数化查询：

query1 = """
INSERT OR REPLACE INTO water_use (user_id, bathtube, wc, washing_maschine, dishwasher, wash_time, shower_time)
VALUES (?, ?, ?, ?, ?, ?, ?)
"""
cursor.execute(query1, (session["user_id"], bath, wc, wm, d, was, s))

错误提示"years"的来源推测 #

虽然代码里没写"years"，但如果某个表单字段（比如wash_time或shower_time）的用户输入值是years，用format直接拼入SQL后，会变成无引号的内容，SQL解析时会把它当成语法元素，从而报错syntax error near "years"。用参数化查询可以彻底避免这类问题，因为参数化会自动处理值的引号和转义。

内容的提问来源于stack exchange，提问作者user40089