Python中SQLite3查询占位符失效问题及报错排查

核心问题：SQL占位符只能绑定数据值，不能替换SQL语法元素 #

SQLite的?占位符是专门用来绑定数据值（比如LIMIT的数值、WHERE条件里的匹配值）的，不能用来替换列名、表名这类SQL结构部分——这是参数化查询的设计原则，目的是防止SQL注入，同时数据库只会把占位符当成值解析，不会当成SQL语法的一部分。

下面逐个分析你遇到的问题：

1. 问题1：data=[('spark_plug', 3)]报错参数数量不匹配
   你应该是写了类似SELECT ? FROM ... LIMIT ?的SQL，这里需要2个绑定值，但你传的是一个包含元组的列表[('spark_plug',3)]——cursor.execute的第二个参数应该是单个元组（比如('spark_plug',3)），而不是列表套元组。就算参数格式传对了，第一个?也会被解析成字符串'spark_plug'，不是列名，依然达不到预期。

2. 问题2：传('spark_plug',3)返回重复字符串
   此时SQL实际执行的是SELECT 'spark_plug' FROM periodic_service ...——占位符把spark_plug当成了字符串常量，所以每行结果都是这个字符串，而不是查询spark_plug列的数据。

3. 问题3：传('spark_plug')或'spark_plug'报错参数数量不对
   首先，('spark_plug')不是元组，只是加了括号的字符串，Python会把它当成普通字符串处理。当你把字符串传给execute时，它会把字符串拆成单个字符作为绑定值——'spark_plug'刚好是10个字符，所以报错说提供了10个绑定值，但SQL只需要1个。就算改成正确的单元素元组('spark_plug',)，依然会把它当成字符串，不是列名。

4. 问题4：传'10'报错，传'3'正常
   同样是因为你传的'10'是字符串，被拆成了'1'和'0'两个字符，相当于给了2个绑定值，而SQL的LIMIT只需要1个。'3'是单个字符，拆成1个值刚好匹配，所以看似正常，但正确的做法应该传整数，并且用元组格式(10,)。

正确的简化代码写法 #

要动态指定列名，只能用字符串拼接（注意：必须确保列名是可信的，比如自己定义的白名单，避免SQL注入风险），LIMIT的值用参数化占位符：

def get_service_data(column_name, limit_num):
    # 先验证列名是否合法，防止SQL注入
    allowed_columns = ['spark_plug', 'air_filter']
    if column_name not in allowed_columns:
        raise ValueError("非法列名")
    # 字符串拼接列名，LIMIT用占位符
    query = f"SELECT {column_name} FROM periodic_service ORDER BY n DESC LIMIT ?"
    cursor.execute(query, (limit_num - 1,))
    return cursor.fetchall()

# 调用示例
spark_plug_data = get_service_data('spark_plug', 3)
air_filter_data = get_service_data('air_filter', 2)

内容的提问来源于stack exchange，提问作者DanielYap92