如何基于Python多可空参数构建employees表的SQL过滤查询

嗨，这个问题我刚好处理过，咱们来一步步解决它，还要顺便避开容易踩的坑～

核心思路：动态生成过滤条件，同时避免SQL注入 #

首先得明确：直接用字符串format或者拼接的方式写SQL是非常危险的，会导致SQL注入漏洞。正确的做法是用参数化查询，同时根据非空的变量动态生成WHERE子句的条件。

步骤1：收集有效条件和参数

先遍历三个变量，把非空的变量对应的条件和参数分别存起来：

# 初始化条件列表和参数列表
filter_conditions = []
query_params = []

# 逐个检查变量，非空则加入条件
if name is not None:
    filter_conditions.append("name = %s")
    query_params.append(name)
if employee_id is not None:
    filter_conditions.append("employee_id = %s")
    query_params.append(employee_id)
if citizen_id is not None:
    filter_conditions.append("citizen_id = %s")
    query_params.append(citizen_id)

注：这里的%s是大多数Python数据库驱动（比如psycopg2、MySQLdb）使用的参数占位符；如果用SQLAlchemy或者其他ORM，占位符写法可能不同，但核心逻辑一致。

步骤2：构建完整的SQL语句

因为题目保证至少有一个变量非空，所以不用处理filter_conditions为空的情况。直接用OR（或者根据业务需求用AND）把条件连接起来：

# 用OR连接条件，符合你示例里的逻辑：满足任一条件即返回
sql_query = f"SELECT * FROM employees WHERE {' OR '.join(filter_conditions)}"

# 如果业务需求是同时满足所有传入的条件，就换成AND：
# sql_query = f"SELECT * FROM employees WHERE {' AND '.join(filter_conditions)}"

步骤3：安全执行查询

用参数化的方式执行SQL，把参数列表传给执行方法，而不是直接拼到字符串里：

# 以psycopg2为例（其他数据库驱动写法类似）
import psycopg2

# 建立数据库连接（请替换成你的数据库信息）
conn = psycopg2.connect(database="your_db_name", user="your_user", password="your_pwd", host="localhost")
cur = conn.cursor()

# 执行参数化查询
cur.execute(sql_query, query_params)

# 获取查询结果
results = cur.fetchall()

# 记得关闭游标和连接
cur.close()
conn.close()

示例效果 #

比如当name = 'John'、citizen_id = 'ID001'、employee_id = None时：

• 生成的SQL是：SELECT * FROM employees WHERE name = %s OR citizen_id = %s
• 执行时会把['John', 'ID001']作为参数安全传入，完全不用担心SQL注入。

为什么不能用你示例里的format写法？ #

举个例子，如果有人恶意传入name = "'John' OR 1=1--"，用format的话会生成：

SELECT * FROM employees WHERE name = ''John' OR 1=1--' OR citizen_id = '...' OR employee_id = '...'

这会返回表中所有数据，因为1=1永远成立，后面的条件被注释掉了。参数化查询则会把这个恶意输入当成普通的字符串处理，不会执行恶意SQL。

内容的提问来源于stack exchange，提问作者AMR