Python函数用变量作为SQL表名与列值时出现ProgrammingError求解

错误根源 #

你的代码存在两个核心问题：

1. table是SQL的保留关键字，SQL解析器会将它识别为语法关键字（比如CREATE TABLE里的table），而非你传入的表名参数，直接触发语法错误。
2. SQL语句里的project未被替换为函数的参数值，会被解析成SQL中的列名，既不符合业务逻辑，也会引发查询错误。

修正方案 #

推荐使用SQLAlchemy参数化查询解决，既能避免SQL注入风险，又能正确处理动态表名和参数值：

方案一：SQLAlchemy text 对象+安全表名处理 #

from sqlalchemy import create_engine, text, quoted_name
import pandas as pd

def project_cable_collector(dbase, table, project):
    engine = create_engine(dbase)
    # 用quoted_name自动适配不同数据库的表名引号规则（比如PostgreSQL用双引号）
    query = text(f"SELECT * FROM {quoted_name(table, quote=True)} WHERE project_id = :project")
    # 通过params传入参数值，避免直接拼接字符串
    df = pd.read_sql(query, engine, params={"project": project})
    return df

方案二：简化版（适合表名安全的场景） #

如果表名是内部定义、不会来自用户输入（无SQL注入风险），可以直接安全拼接表名，参数化处理project：

import pandas as pd
from sqlalchemy import create_engine

def project_cable_collector(dbase, table, project):
    engine = create_engine(dbase)
    # 用双引号包裹表名，避免关键字冲突
    query = f'SELECT * FROM "{table}" WHERE project_id = %s'
    # 通过params传入参数值
    df = pd.read_sql(query, engine, params=(project,))
    return df

关键注意点 #

• 动态表名无法用参数化（参数化仅适用于条件值），必须确保表名来源安全，或用quoted_name做安全处理。
• 所有条件参数（比如project）必须通过params传入，绝对不要直接用字符串拼接，否则会引发SQL注入风险和类型解析错误。

内容的提问来源于stack exchange，提问作者Mhargr