如何在MariaDB SQL脚本中用参数创建数据库（Python调用场景）

对于SQL里的标识符（数据库名、表名、列名等），不能用普通的参数绑定（参数绑定仅针对值，会自动添加引号），以下是针对MariaDB+Python场景的标准解决方案：

1. 用MariaDB连接器的标识符转义函数 #

Python的MariaDB连接器提供了mariadb.escape_identifier()方法，专门用于转义标识符，既保证语法正确，又能避免SQL注入风险。

示例代码：

import mariadb

# 建立数据库连接
conn = mariadb.connect(
    user="你的用户名",
    password="你的密码",
    host="localhost",
    port=3306
)
cur = conn.cursor()

db_name = "my_db"
# 转义数据库名
escaped_db = mariadb.escape_identifier(db_name)
# 拼接并执行SQL
sql = f"CREATE DATABASE {escaped_db}"
cur.execute(sql)

conn.commit()
cur.close()
conn.close()

2. 结合SQL模板文件的安全替换 #

如果需要从外部SQL文件读取脚本模板，同样先转义标识符再完成替换：

SQL模板文件（create_db_table.sql）：

CREATE DATABASE {dbname};
USE {dbname};
CREATE TABLE users (
    id INT AUTO_INCREMENT PRIMARY KEY,
    name VARCHAR(50) NOT NULL
);

Python执行代码：

import mariadb

# 读取SQL模板
with open("create_db_table.sql", "r") as f:
    sql_template = f.read()

db_name = "my_db"
# 转义标识符
escaped_db = mariadb.escape_identifier(db_name)
# 替换模板占位符
final_sql = sql_template.format(dbname=escaped_db)

# 执行语句
conn = mariadb.connect(
    user="你的用户名",
    password="你的密码",
    host="localhost",
    port=3306
)
cur = conn.cursor()
cur.execute(final_sql)
conn.commit()

为什么之前的方法失效？ #

• SQL脚本中用@变量：MariaDB的用户变量（@开头）仅能用于值的位置，无法直接作为标识符（如库名、表名），因此CREATE DATABASE @dbname会触发语法错误。
• 普通参数绑定：cur.execute(sql, params)是为绑定字段值设计的（比如WHERE条件里的字符串/数字），会自动给参数添加单引号，导致标识符被识别为字符串，违反SQL语法规则。

关键注意事项 #

• 必须使用官方提供的转义函数，禁止手动拼接或替换标识符，否则会存在SQL注入风险。
• 若需处理多个标识符，需逐个转义后再完成拼接或替换。

内容的提问来源于stack exchange，提问作者user22254901