PostgreSQL创建visitors表更新函数报错：column 'email' does not exist

错误原因 #

• USING子句引用无效标识符：你在EXECUTE的USING里写了email，但这个值既不是函数参数，也不是当前PL/pgSQL块的变量，PostgreSQL会把它当成表的列名查找，自然找不到，所以报错"column 'email' does not exist"。
• 动态SQL参数传递错误：你直接在格式化的SQL字符串里写i_value和i_id，动态SQL无法识别这些函数参数，会把它们当成普通字符串字面量，不仅无法正确赋值，还存在SQL注入风险。
• 未维护last_update字段：表设计里last_update默认是当前时间，但更新时没有主动刷新这个字段，不符合表的设计预期。

修正后的函数代码 #

CREATE OR REPLACE FUNCTION museum.visitors_row_update(i_id int, i_column TEXT, i_value varchar(50)) 
  RETURNS VOID 
AS $$ 
BEGIN 
  -- 校验传入的列名是否为表中存在的有效列，避免非法更新
  IF NOT EXISTS (
    SELECT 1 FROM information_schema.columns 
    WHERE table_schema = 'museum' AND table_name = 'visitors' AND column_name = i_column
  ) THEN
    RAISE EXCEPTION '列 % 不存在于 museum.visitors 表中', i_column;
  END IF;

  -- 动态构建安全的更新语句，传递参数并刷新更新时间
  EXECUTE format('UPDATE museum.visitors SET %I = $1, last_update = CURRENT_TIMESTAMP WHERE visitor_id = $2;', i_column)
      USING i_value, i_id; 
END; $$ 
LANGUAGE plpgsql;

修正说明 #

1. 用format的%I处理列名，自动添加引号，避免列名含特殊字符或关键字时出错。
2. 动态SQL里用$1、$2作为参数占位符，通过USING子句传递函数的i_value和i_id，既安全又能正确赋值。
3. 增加列名校验逻辑，提前拦截不存在的列名，避免无效更新。
4. 自动将last_update设为当前时间，符合表字段的设计意图。

内容的提问来源于stack exchange，提问作者Kris