使用pyodbc带参数执行UPDATE时为何出现nvarchar算术溢出错误？

核心问题：参数化查询的适用范围 #

参数化查询中的?仅用于传递值参数，不能用来指定数据库对象的标识符（比如列名、表名）。当你把'mediaId'作为参数传入时，SQL Server会将其视为nvarchar类型的字符串值，而非列名。

错误根源解析 #

失败的代码实际被SQL Server解析为类似如下的语句：

UPDATE Media SET 'mediaId' = 476506524101914624 WHERE id=476506567332605952

这相当于尝试把bigint类型的数值赋值给字符串常量'mediaId'，SQL Server会强制将大整数转换为nvarchar类型，由于数值超出了转换逻辑的合理范围，直接触发算术溢出错误。

正确处理方式 #

如果需要动态指定列名，先用字符串格式化处理列名部分，值部分仍用参数化查询保证安全性：

db = DB()
cursor = db.cursor

column_name = 'mediaId'
# 用方括号包裹列名，避免列名是SQL关键字时出错
command = f"UPDATE Media SET [{column_name}] = ? WHERE id=476506567332605952"
params = (476506524101914624,)
cursor.execute(command, params)

关键注意点 #

• 若动态列名来自用户输入，必须做合法性校验（比如校验是否为允许的列名），防范SQL注入风险。
• 数值类参数始终用参数化传递，避免直接拼接进SQL语句，既防注入也能规避类型转换问题。

内容的提问来源于stack exchange，提问作者Ponysopher