如何在单次执行中向PostgreSQL批量插入含bytea的多行数据

你的核心问题是手动拼接SQL时无法正确处理bytea类型，同时逐行插入效率低下。以下是两种正确的参数化批量插入方法，psycopg2会自动处理bytea数据的转换，同时避免SQL注入风险：

方法1：使用executemany（最简洁） #

直接利用cursor.executemany()方法，传入SQL模板和参数列表即可：

# 定义插入模板，所有占位符用%s，不要手动加引号
insert_sql = "INSERT INTO queue(file_id, content_type, source) VALUES (%s, %s, %s)"

# 整理参数：从fileData中提取需要的字段（跳过storeDate）
params_list = [
    (fileId, contentType, source)
    for fileId, storeDate, contentType, source in fileData
]

# 批量执行插入
cur.executemany(insert_sql, params_list)

方法2：构造批量VALUES语句（适合超大数据量） #

如果数据量极大，可构造单条包含多个VALUES的SQL，一次性传入所有参数：

# 生成对应行数的占位符组
value_groups = ", ".join(["(%s, %s, %s)"] * len(fileData))
insert_sql = f"INSERT INTO queue(file_id, content_type, source) VALUES {value_groups}"

# 将所有参数平铺为一维列表
flat_params = []
for fileId, storeDate, contentType, source in fileData:
    flat_params.extend([fileId, contentType, source])

# 执行批量插入
cur.execute(insert_sql, flat_params)

为什么你的原有写法错误？ #

1. bytea处理失效：手动拼接时，bytea对应的memory对象被直接转成了<memory at ...>字符串，PostgreSQL无法识别为合法的bytea数据；
2. SQL语法风险：contentType字段手动加了单引号，若字段值包含单引号（如'text/html; charset='utf-8''）会直接触发SQL语法错误；
3. SQL注入风险：未使用参数化查询，若fileId或contentType包含恶意SQL片段，会导致注入攻击。

内容的提问来源于stack exchange，提问作者Black Magic