Python MySQL中Column=Column写法异常及参数化查询问题求助

为什么参数化写法失效 #

参数化查询的%s占位符是用来传递值的，当你传入字符串'year'时，数据库会把它当作字符串字面量处理，实际执行的SQL是：

SELECT * FROM invoices_budgets WHERE year='year' AND status='status'

这是在判断year列的值是否等于字符串'year'，和直接写year=year（两边都是列名，逻辑永远为真）完全不是一个意思，所以会失效。

推荐解决方案：动态构建有效查询条件 #

最安全且合理的方式是只保留用户实际指定了查询值的条件，未指定的直接跳过。建议约定：用户未选择查询项时，对应的变量值为None（或者空字符串，根据实际场景调整），代码示例：

# 初始化条件列表和参数列表
conditions = []
params = []

# 处理year查询项
if year is not None:
    conditions.append("year = %s")
    params.append(year)

# 处理status查询项
if status is not None:
    conditions.append("status = %s")
    params.append(status)

# 依次处理剩下4个查询项...

# 构建最终SQL
query = "SELECT * FROM invoices_budgets"
if conditions:
    query += " WHERE " + " AND ".join(conditions)

# 执行查询
cursor.execute(query, params)

这种方式完全使用参数化查询，避免SQL注入，逻辑清晰，未选择的查询项不会出现在WHERE子句中，自然返回所有数据。

如果你坚持保留Column=Column的逻辑 #

如果必须沿用“未选择时传入列名”的约定，不能用参数化传递列名（参数化只支持值），可以动态拼接SQL，但必须严格校验列名防止注入：

# 定义允许的查询列名（必须和表中列名一致）
allowed_columns = ['year', 'status', 'col3', 'col4', 'col5', 'col6']
conditions = []
params = []

for col in allowed_columns:
    # 获取对应变量的值（根据你的变量存储方式调整，比如从request.args取）
    value = locals().get(col)
    if value == col:
        # 未选择，添加col=col条件
        conditions.append(f"{col} = {col}")
    else:
        # 已选择，添加参数化条件
        conditions.append(f"{col} = %s")
        params.append(value)

query = "SELECT * FROM invoices_budgets WHERE " + " AND ".join(conditions)
cursor.execute(query, params)

注意：必须确保allowed_columns包含所有合法列名，禁止用户传入不在列表中的值，否则会有SQL注入风险。

补充：第一种写法的逻辑 #

直接写year=year时，数据库会将两边都解析为列名，判断该列的值等于自身，这个条件永远为真，相当于这个过滤条件不生效，所以能返回所有数据。

内容的提问来源于stack exchange，提问作者solac34