Python操作MySQL动态列更新时触发Syntax Error问题求助

我尝试使用动态列名和值更新MySQL的movies表，但始终遭遇语法错误。我有功能正常的INSERT和SELECT语句，也已尝试多种查询语法变体。

报错代码示例 #

cursor.execute("""UPDATE movies SET %s="%s" WHERE Rank_id = %s""",(column.replace("'",""),str(movie[key]).replace("'",""),rank))
# 或者
query = """UPDATE movies SET %s="%s" WHERE Rank_id = %s"""
values = (column,movie[key],rank)
cursor.execute(query,(column,str(movie[key]).replace("'",""),rank))

错误信息 #

mysql.connector.errors.ProgrammingError: 1064 (42000): SQL语法有误；请查看对应MySQL版本的手册，了解在''Title'="'fsdsd'" WHERE Rank_id = '1''附近使用的正确语法。

DBeaver中可正常运行的SQL #

update movies set Title="djhdfghgfjhjfg" where Rank_id=1

可正常运行的代码 #

# INSERT语句
query = "INSERT INTO movies(Title,Genre,Description,Director,Actors,Release_Year,Runtime_Minutes,Rating,Votes,Revenue_Millions,Metascore) VALUES (%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,%s)"
values =(title, genre, description, director,actors, release_year,runtime_minut, rating,votes,revenue_millions,metascore)
cursor.execute(query,values)

# SELECT语句
query = "SELECT Title,Genre,Description FROM movies WHERE Rank_id = %s";
cursor.execute(query,(rank,))

更新说明 #

当我在查询中硬编码列名时可以正常运行（但这并非理想解决方案）

问题原因与解决办法 #

问题核心：MySQL参数化查询的%s占位符只能用于绑定值，不能绑定列名、表名这类SQL标识符。你之前的写法会让列名被自动加上单引号（比如报错里的'Title'），这不符合SQL语法规范，自然会报错。

正确处理方式：

1. 校验列名合法性：先定义允许更新的列列表，防止SQL注入风险
2. 拼接列名到SQL语句：列名直接拼入SQL，值部分仍然用参数占位符

示例代码：

# 定义允许更新的列列表，限制输入范围
allowed_columns = ['Title', 'Genre', 'Description', 'Director', 'Actors', 'Release_Year', 'Runtime_Minutes', 'Rating', 'Votes', 'Revenue_Millions', 'Metascore']
if column not in allowed_columns:
    raise ValueError("非法的列名，禁止更新")

# 用反引号包裹列名，避免关键字冲突，值用参数占位符
query = f"""UPDATE movies SET `{column}` = %s WHERE Rank_id = %s"""
cursor.execute(query, (movie[key], rank))

注意：

• 必须校验列名，绝对不能直接将未过滤的用户输入列名拼入SQL，否则会引发SQL注入漏洞
• 用反引号`包裹列名，兼容列名是MySQL关键字的场景

内容的提问来源于stack exchange，提问作者Vini