如何在Python中正确向SQL查询传入变量？遇int与date类型冲突错误

错误原因 #

从报错信息里的生成SQL可以看到：select * from YS_cheque_check (2022-10-25, 447,1206.84)，这里的2022-10-25没有加单引号，SQL会将其识别为整数减法运算（2022-10-25），得到的结果是整数类型，但你的SQL函数第一个参数要求的是date类型，因此触发了Operand type clash: int is incompatible with date的类型冲突错误。

解决方案 #

方案1：手动给日期添加单引号 #

修改f-string拼接的SQL语句，给日期变量加上单引号，让SQL识别为日期字符串：

sql_query = f''' 
USE DB_name
select * from YS_cheque_check ('{date}', {filid},{amount})
'''

注意：该方法仅适合内部测试场景，存在SQL注入风险。

方案2：使用参数化查询（推荐） #

利用pyodbc的参数化查询功能，让驱动自动处理参数类型转换，同时彻底避免SQL注入问题：

# 定义带参数占位符的SQL语句，?是pyodbc的参数占位符
sql_query = ''' 
USE DB_name
select * from YS_cheque_check (?, ?, ?)
'''
# 通过params参数传入变量，驱动会自动匹配类型
df = pd.read_sql_query(sql_query, conn_to_100, params=[date, filid, amount])

额外优化：连接时指定默认数据库 #

可以在数据库连接字符串中直接指定默认数据库，省去每次SQL里写USE DB_name的步骤：

conn_to_100 = pyodbc.connect('Driver={SQL Server};'
                        'Server=name\\department;'
                        'Database=DB_name;'
                        'Trusted_Connection=yes;')

# 简化后的SQL语句
sql_query = '''select * from YS_cheque_check (?, ?, ?)'''
df = pd.read_sql_query(sql_query, conn_to_100, params=[date, filid, amount])

内容的提问来源于stack exchange，提问作者Jeki4an