Python向Oracle插入数据遇ORA-00936/00917错误求助

核心问题原因 #

直接拼接SQL语句时，未正确处理不同数据类型的格式要求，导致Oracle无法解析SQL语法：

• 字符串/日期类型未加单引号：比如文本值DESCR_LOCATION = "北京"直接拼接后变成北京，Oracle会将其识别为标识符而非字符串，触发语法错误。
• 空值处理错误：Python中None转字符串后是"None"，但Oracle需要的是无引号的NULL，会导致语法解析失败。
• 特殊字符未转义：字符串中包含单引号（如"O'Neil"）时，直接拼接会破坏SQL结构，引发缺失表达式或逗号错误。
• 日期格式不匹配：Python的datetime对象直接转字符串后，格式可能不符合Oracle的NLS_DATE_FORMAT要求，导致日期解析错误。

排查步骤 #

1. 打印完整SQL语句：执行前打印cmd变量的内容，复制到Oracle官方客户端（如SQL*Plus、PL/SQL Developer）中执行，定位具体语法错误位置。
2. 检查值的格式：逐一核对每个字段值的格式：
   • 字符串/日期值必须用单引号包裹
   • 空值需替换为NULL而非"None"
   • 字符串中的单引号需转义（如"O''Neil"）
3. 验证字段与值的数量匹配：确保oracleFieldsList和entryValuesList的长度完全一致，避免字段数和值数不匹配导致的语法错误。

正确解决方案：使用参数绑定 #

避免直接拼接SQL，改用cx_Oracle支持的参数绑定方式，自动处理类型转换与格式问题，同时防止SQL注入：

oracleFieldsList = ["REQ_ID", "MEMBER_ID", "DATA_ID", "DTTM_REQ", "DTTM_UPD", "DESCR_PROJECTION", "DESCR_LOCATION", "MEDIA_TRANSFER",
"FILE_FORMAT", "TAX_SUPPORTED", "REQ_NOTES", "USER_PROJECT", "DTTM_STAFF", "STAFF_ID", "DTTM_DELIVER", "FILE_SIZE", "SIZE_TYPE",
"NO_FILES", "DTTM_CANCEL", "CANCEL_BY_ID", "DWNLD_URL", "LABOR_HOURS", "LABOR_TOTAL", "MEDIA_QUANT", "MEDIA_TOTAL", "INVOICE_DATE", "ADMIN_ID"]
oracle_fields = ",".join(oracleFieldsList)
# 生成与字段数量匹配的占位符
placeholders = ",".join(["%s"] * len(oracleFieldsList))
cmd = f"INSERT INTO PERSONS ({oracle_fields}) VALUES ({placeholders})"

# 保留原始数据类型，无需手动转字符串
entryValuesList = [REQ_ID, MEMBER_ID, DATA_ID, DTTM_REQ, DTTM_UPD, DESCR_PROJECTION, DESCR_LOCATION, MEDIA_TRANSFER,
FILE_FORMAT, TAX_SUPPORTED, REQ_NOTES, USER_PROJECT, DTTM_STAFF, STAFF_ID, DTTM_DELIVER, FILE_SIZE, SIZE_TYPE,
NO_FILES, DTTM_CANCEL, CANCEL_BY_ID, DWNLD_URL, LABOR_HOURS, LABOR_TOTAL, MEDIA_QUANT, MEDIA_TOTAL, INVOICE_DATE, ADMIN_ID]

def updateDatabase(query, params):
    try:    
        import cx_Oracle
        print(query)

        connstr = 'XXXXXXX'
        conn = cx_Oracle.connect('XX', 'XXX', connstr)
        curs = conn.cursor()
        # 传入参数列表，cx_Oracle自动处理类型转换
        curs.execute(query, params)
        conn.commit()
        conn.close()
    except Exception as e:
        print(str(e))

updateDatabase(cmd, entryValuesList)

参数绑定的优势 #

• 自动处理字符串的单引号包裹与转义
• 自动将Python的datetime对象转换为Oracle支持的日期类型
• 自动将None转换为Oracle的NULL
• 避免SQL注入风险，提升代码安全性

内容的提问来源于stack exchange，提问作者kgs_doc