SQLite全文搜索遇特殊字符（如连字符）报错问题咨询

这个问题的根源有两个：一是直接字符串拼接SQL语句导致特殊字符被解析成SQL语法的一部分，二是SQLite全文搜索（FTS）本身对某些字符有特殊处理规则。

为什么会报错？ #

当你输入2018-2019时，你的代码会生成这样的SQL：

SELECT rowid,projeYili,projeAdi,ogretmenler,ogrenciler FROM projects WHERE projects MATCH '2018-2019'

在SQLite的FTS语法里，-是排除操作符，相当于告诉数据库“匹配包含2018但不包含2019的内容”。但这里的2019没有被引号包裹，SQLite会误以为它是一个列名，所以抛出no such column: 2019的错误。

另外，直接用format拼接用户输入还存在SQL注入风险，这是非常危险的。

解决方案 #

我们需要做两件事：使用参数化查询，以及正确处理FTS的特殊字符。

1. 改用参数化查询

永远不要直接拼接用户输入到SQL语句中，使用SQLite的参数化查询可以避免语法错误和注入风险。

2. 处理FTS特殊字符

如果要精确匹配包含特殊字符的短语，用双引号把搜索词包裹起来；如果需要转义单个特殊字符（比如让-作为普通字符），可以在特殊字符前加\。

修改后的代码示例 #

@app.route('/search', methods=['POST','GET'])
def row_search():
    if request.method == 'POST':
        search_term = request.form.get('search', '')
        
        # 处理方式1：精确匹配短语（适合带特殊字符的完整内容，比如"2018-2019"）
        # 注意要转义搜索词里的双引号，如果有的话
        escaped_term = search_term.replace('"', '\\"')
        query_term = f'"{escaped_term}"'
        
        # 处理方式2：转义所有FTS保留字符（如果要让特殊字符作为普通字符匹配）
        # fts_reserved_chars = r'\-\+\&\|\!\(\)\{\}\[\]\^\~\*\?\:\"\'\\'
        # import re
        # query_term = re.sub(f'([{fts_reserved_chars}])', r'\\\1', search_term)
        
        # 使用参数化查询，避免SQL注入和语法错误
        cursor.execute("""
            SELECT rowid, projeYili, projeAdi, ogretmenler, ogrenciler 
            FROM projects 
            WHERE projects MATCH ?
        """, (query_term,))
        
        return render_template('index.html', projects=cursor.fetchall())

关键说明 #

• 参数化查询：用?作为占位符，把查询参数作为第二个参数传给cursor.execute，SQLite会自动处理字符串转义，避免注入和语法问题。
• 精确匹配短语：用双引号包裹搜索词后，SQLite会把整个内容当成一个完整短语匹配，特殊字符不会被解析为操作符。
• 转义保留字符：如果不需要精确匹配短语，只是想让特殊字符作为普通字符参与匹配，可以转义SQLite FTS的保留字符（包括-、?、.等）。

内容的提问来源于stack exchange，提问作者user10301987