如何向用户自定义名称的PostgreSQL表中插入数据？

核心问题 #

PostgreSQL的参数化查询（%s占位符）仅适用于SQL语句中的值，无法用来替换表名这类语法标识符，所以需要用字符串格式化或专门的标识符处理方式来实现动态表名。

基础实现（需注意安全风险） #

和你创建表时的写法一致，直接用f-string格式化INSERT语句中的表名：

# 假设已获取待插入的value1、value2
value1 = "示例数据1"
value2 = "示例数据2"

cursor.execute(f"""
    INSERT INTO {trial_name} (column1, column2) VALUES (%s, %s);
""", (value1, value2))

安全版本（推荐） #

直接使用用户输入的表名存在SQL注入风险（比如恶意输入会删除其他表），推荐用psycopg2.sql模块的Identifier来安全处理标识符，它会自动转义特殊字符并避免注入：

安全创建表

from psycopg2 import sql

cursor.execute(sql.SQL("""
    CREATE TABLE {} (
        id SERIAL PRIMARY KEY,
        column1 VARCHAR,
        column2 VARCHAR
    );
""").format(sql.Identifier(trial_name)))

安全插入数据

cursor.execute(sql.SQL("""
    INSERT INTO {} (column1, column2) VALUES (%s, %s);
""").format(sql.Identifier(trial_name)), (value1, value2))

关键说明 #

• sql.Identifier会将表名转为PostgreSQL合法的标识符格式（比如含特殊字符时自动加双引号），彻底规避SQL注入风险。
• 永远不要直接拼接未过滤的用户输入到SQL语句中，这是数据库操作的基本安全准则。

内容的提问来源于stack exchange，提问作者David H.