如何使用Pandas read_sql函数参数化数据库表名？

SQL的参数化机制仅支持对查询值进行参数化，表名、Schema名这类属于SQL语法结构的标识符，无法通过read_sql的params参数处理——这也是你看到表名被加单引号导致语法错误的原因。

要兼顾语法正确性和安全性，推荐以下方案：

1. 先做白名单校验（核心，防止SQL注入） #

直接拼接未校验的标识符存在SQL注入风险，必须先限定允许的客户列表：

# 定义所有合法的客户名称
allowed_clients = {'bob', 'jess'}
if client not in allowed_clients:
    raise ValueError(f"非法客户: {client}")

2. 拼接标识符 + 参数化查询值 #

用校验后的客户名拼接Schema部分，查询值依然通过params参数传递：

# 拼接合法的Schema名称，值部分用参数化占位符
query = f"SELECT * FROM {client}_legal.my_table WHERE country = %s;"
result = pd.read_sql(query, con, params=(country_name,))

如果习惯用命名参数，也可以这样写：

query = f"SELECT * FROM {client}_legal.my_table WHERE country = %(country)s;"
result = pd.read_sql(query, con, params={"country": country_name})

关键说明 #

• 白名单校验是必不可少的步骤，能彻底避免非法客户名带来的SQL注入风险；
• 仅对标识符部分做安全拼接，查询值始终用参数化处理，既符合SQL语法规范，也保证了查询值的安全性。

内容的提问来源于stack exchange，提问作者user18140022