Python Tkinter与MySQL数据插入时SQL语法错误求助

问题分析 #

你遇到的核心问题是动态构建INSERT语句时字段列表与值列表不匹配，或是直接拼接空值导致SQL语法失效——比如mid为空时误加了多余逗号，或是字段和值的数量对应不上。另外直接拼接字符串还存在SQL注入风险，必须改用参数化查询的方式。

正确实现方式 #

通过动态构建字段和值的列表，配合MySQL参数化查询来实现需求，彻底规避语法错误：

import mysql.connector
from tkinter import messagebox

# 从Tkinter控件获取输入值（示例）
name = entry_name.get().strip()
phone = entry_phone.get().strip()
email = entry_email.get().strip()
mid = entry_mid.get().strip()

# 初始化字段与值的基础列表
fields = ['name', 'phone', 'email']
values = [name, phone, email]

# 若mid不为空，追加到字段和值列表
if mid:
    fields.append('mid')
    values.append(mid)

# 动态生成SQL语句
sql = f"INSERT INTO guest ({', '.join(fields)}) VALUES ({', '.join(['%s']*len(values))})"

try:
    # 数据库连接（替换为你的实际参数）
    conn = mysql.connector.connect(
        host='localhost',
        user='your_username',
        password='your_password',
        database='hotel_db'
    )
    cursor = conn.cursor()
    cursor.execute(sql, values)
    conn.commit()
    messagebox.showinfo("成功", "数据插入完成")
except mysql.connector.Error as err:
    messagebox.showerror("错误", f"SQL错误: {err}")
finally:
    # 关闭连接
    if conn.is_connected():
        cursor.close()
        conn.close()

关键注意事项 #

• 列表动态匹配：通过判断mid是否非空，决定是否将其加入字段和值列表，确保两者数量严格对应，从根源避免语法错误。
• 参数化查询：用%s作为占位符，将值通过cursor.execute()的第二个参数传入，既解决了字符串拼接的语法问题，又能防止SQL注入攻击。
• 字段校验：确保guest表确实存在name、phone、email、mid字段，且字段名拼写完全一致；若mid是整数类型，需将输入值转换为int类型后再传入。

内容的提问来源于stack exchange，提问作者Owlit_Kabir-Lal