Python中如何用循环将数组值对应分配给不同参数

你的代码逻辑存在两个核心问题：

1. 重复覆盖更新：外层遍历每个parameter时，内层又遍历所有表单参数值，会把当前parameter的parameter_value反复设置为每个params[i]，最终只会保留最后一个值。
2. 无对应关系绑定：没有将表单中的每个值与对应的parameter_name关联，只是单纯按顺序循环，无法保证值和参数名匹配。
   另外，直接拼接SQL字符串存在SQL注入风险，绝对不能这么写。

推荐使用Django ORM来实现，既安全又符合框架规范，同时能精准匹配参数名和值：

方案一：Django ORM实现（推荐） #

如果表单提交时，每个参数的name与parameter_name关联（比如parameter_age、parameter_date），可以直接通过参数名获取对应值：

parameters = Parametros.objects.filter(job_id=job.id)
if request.method == 'POST':
    for parameter in parameters:
        # 根据参数名匹配表单值
        param_value = request.POST.get(f'parameter_{parameter.parameter_name}')
        if param_value is not None:
            # ORM自动处理SQL注入，安全更新
            Jobs_parametros.objects.filter(
                parameter_name=parameter.parameter_name,
                job_id=job.id
            ).update(parameter_value=param_value)

如果表单是按固定顺序提交的数组（所有参数name都是parameter，且顺序与parameters查询结果完全一致），可以用索引对应：

parameters = Parametros.objects.filter(job_id=job.id)
if request.method == 'POST':
    params = request.POST.getlist('parameter')
    # 先校验参数数量匹配，避免索引越界
    if len(params) == len(parameters):
        for idx, parameter in enumerate(parameters):
            Jobs_parametros.objects.filter(
                parameter_name=parameter.parameter_name,
                job_id=job.id
            ).update(parameter_value=params[idx])

方案二：修正原生SQL（仅特殊场景使用） #

如果必须用原生SQL，一定要用参数绑定避免注入，同时确保参数名和值对应：

from django.db import connection

parameters = Parametros.objects.filter(job_id=job.id)
if request.method == 'POST':
    params = request.POST.getlist('parameter')
    if len(params) == len(parameters):
        with connection.cursor() as cursor:
            for idx, parameter in enumerate(parameters):
                # 用%s做占位符，传递参数元组，杜绝SQL注入
                cursor.execute(
                    "UPDATE Jobs_parametros SET parameter_value=%s WHERE parameter_name=%s AND job_id=%s",
                    [params[idx], parameter.parameter_name, job.id]
                )

• 优先让表单参数name与parameter_name关联，避免依赖顺序匹配（顺序极易出错）。
• 永远不要直接拼接用户输入到SQL语句中，必须用参数绑定或ORM防止SQL注入。

内容的提问来源于stack exchange，提问作者Emanuel Ticona