使用mysql.connector预处理语句执行DESCRIBE时出现语法错误

你遇到的问题核心是：预处理语句的占位符仅支持传入SQL参数值，不能用来替代表名、列名这类数据库对象名称。

当你用DESCRIBE %s并通过预处理执行时，MySQL驱动会把占位符%s替换成带单引号的字符串（比如变成DESCRIBE 'your_table'），但MySQL里表名不能用单引号包裹（特殊情况用反引号），这就导致了语法错误。而之前用f-string直接拼接时，生成的SQL是DESCRIBE your_table，符合语法规则，所以能正常运行。

正确的处理方式 #

预处理没法搞定表名动态替换，要兼顾安全和功能，得这么做：

1. 先验证表名的合法性：这是防止SQL注入的关键，比如只允许表名包含字母、数字和下划线，或者用预设的白名单列表检查。
2. 安全拼接表名：验证通过后，再把表名拼到SQL语句里，必要时给表名加上反引号（处理带特殊字符的表名）。

代码示例 #

import mysql.connector
import re

# 数据库连接示例
conn = mysql.connector.connect(host='localhost', user='your_user', password='your_pass', database='your_db')
cursor = conn.cursor()

table_name = "target_table"

# 验证表名格式：仅允许字母、数字、下划线
if not re.match(r'^[a-zA-Z0-9_]+$', table_name):
    raise ValueError("表名格式非法")

# 用反引号包裹表名，安全拼接SQL
statement = f"DESCRIBE `{table_name}`"
cursor.execute(statement)

# 获取并打印表结构信息
columns_info = cursor.fetchall()
for info in columns_info:
    print(info)

cursor.close()
conn.close()

为什么要验证表名？ #

直接用未过滤的输入拼接SQL会有SQL注入风险，比如有人传入users; DROP TABLE orders;，就会触发恶意操作。通过格式验证或白名单过滤，能把风险降到最低。

内容的提问来源于stack exchange，提问作者novawaly