参数化查询与字符串插值的功能差异？Py2代码执行结果不同解惑

问题背景 #

你维护的Python2代码库中，参数化查询能正常返回结果：

import datetime
# conn is a connector pointing to the sql database
cursor = conn.cursor()
cursor.execute('select * from table_name where end >= :start and end <= :end',
        { 'start' : datetime.datetime.combine(date, datetime.time(0)), # date is a datetime.date object
          'end' : datetime.datetime.combine(date, datetime.time(23,59,59)) })

注：end列是YYYYMMDDHHMMSS格式的整数，推测SQL端通过隐式转换实现了整数与Python datetime对象的比较。

但换成字符串插值写法后，查询无结果返回：

import datetime
# conn is a connector pointing to the sql database
cursor = conn.cursor()
cursor.execute('select * from table_name where end >= '%s' and end <= '%s' 
% (
   datetime.datetime.combine(date, datetime.time(0)), 
   datetime.datetime.combine(date, datetime.time(23,59,59)))
))

参数化查询和字符串插值的核心区别 #

• 数据类型处理逻辑完全不同
  参数化查询时，数据库驱动会自动将Python的datetime对象转换为数据库可识别的日期时间类型（比如SQL的TIMESTAMP）。之后数据库会把end列的整数（YYYYMMDDHHMMSS格式）隐式转换为对应的日期时间类型，两边类型统一后就能正确完成比较，这就是参数化查询能正常返回结果的原因。
• 字符串插值是纯文本替换
  用%s做字符串插值时，Python会直接把datetime对象转换为普通字符串（格式类似2024-05-20 00:00:00），然后将这个字符串直接拼接到SQL语句中。此时SQL执行的是整数与字符串的跨类型比较，比如end >= '2024-05-20 00:00:00'，这种比较的规则和隐式转换完全不同，通常无法匹配到任何数据。
• 安全性差异
  额外提一句：字符串插值存在SQL注入风险，而参数化查询是安全的，这也是参数化查询被广泛推荐的核心原因之一。

两种写法结果不同的具体原因 #

1. 参数化查询流程：Python datetime对象 → 数据库驱动转换为SQL日期类型 → 数据库将end列的整数隐式转为日期类型 → 同类型比较，匹配正确结果。
2. 字符串插值流程：Python datetime对象 → 转为YYYY-MM-DD HH:MM:SS格式的字符串 → 拼入SQL语句 → 数据库执行整数与字符串的跨类型比较，类型不兼容导致无匹配数据。

内容的提问来源于stack exchange，提问作者roulette01