如何从Python向SQL Server传递完整WHERE语句？报错求助

错误根源 #

参数化查询的?占位符仅支持替换查询中的值，不能用来替换SQL语句的结构片段（比如WHERE子句、表名、字段名这类语法元素）。当你把完整的WHERE子句作为参数传入时，SQL Server会将其视为字符串字面量，最终生成的SQL会变成：

SELECT case_Case_Number FROM tbl_case 'WHERE case_Case_Number = ''23-00000500'' and case_Case_Status = ''In Process'' and case_Case_Source = ''Portal'''

这种写法完全不符合SQL语法规范，因此触发了Incorrect syntax near '@P1'的报错。

可行解决方案 #

方案1：参数化传递单个值（推荐，杜绝SQL注入） #

沿用你已经验证有效的写法，拆分WHERE子句中的条件值，分别用占位符传递：

c, conn = connection()
query = """
SELECT case_Case_Number 
FROM tbl_case 
WHERE case_Case_Number = ? 
  AND case_Case_Status = ? 
  AND case_Case_Source = ?
"""
c.execute(query, ('23-00000500', 'In Process', 'Portal'))

这是参数化查询的标准用法，彻底规避了SQL注入风险。

方案2：动态构建SQL（需严格风控） #

如果你的WHERE子句结构需要动态调整（比如条件字段不固定），可以动态拼接SQL，但必须对所有动态部分做严格验证，绝对不能直接拼接用户输入的内容：

c, conn = connection()
# 定义动态条件（字段+值）
conditions = [
    ("case_Case_Number", '23-00000500'),
    ("case_Case_Status", 'In Process'),
    ("case_Case_Source", 'Portal')
]

# 构建安全的条件片段与参数列表
condition_clauses = []
params = []
allowed_fields = ['case_Case_Number', 'case_Case_Status', 'case_Case_Source']
for field, value in conditions:
    # 校验字段是否在白名单内，防止恶意注入
    if field not in allowed_fields:
        raise ValueError(f"非法字段: {field}")
    condition_clauses.append(f"{field} = ?")
    params.append(value)

# 拼接完整查询语句
query = f"""
SELECT case_Case_Number 
FROM tbl_case 
WHERE {' AND '.join(condition_clauses)}
"""
c.execute(query, params)

这种方式既支持动态条件，又通过字段白名单验证避免了SQL注入风险。

关键提醒 #

直接传递或拼接完整的WHERE子句，除了语法错误，还会带来致命的SQL注入风险。如果workflow_eval_statement被恶意篡改（比如包含'; DROP TABLE tbl_case; --这类内容），会直接执行破坏性操作，参数化查询的核心价值就是防范这类攻击。

内容的提问来源于stack exchange，提问作者Glenn