Python实现MySQL表主键存在检查函数报错求助

错误原因 #

你遇到的SQL语法错误，核心问题是参数化查询的占位符%s不能用来替换表名、列名这类SQL标识符。MySQL的参数化机制只会对数值/字符串值做安全转义并添加引号，但表名作为标识符，加了单引号后就不符合SQL语法了——错误提示里的'table_name_example'就是明证，表名被加了单引号，导致MySQL无法识别这是一个表。

修正后的代码 #

import mysql.connector
import logging

def already_exists(tablename, pm_key):
    # 可选：添加表名白名单验证，防止SQL注入
    allowed_tables = {"table_name_example", "other_table"}
    if tablename not in allowed_tables:
        logging.error(f"Invalid table name: {tablename}")
        return False

    # 用with上下文管理器自动管理连接和游标，避免资源泄漏
    try:
        with mysql.connector.connect(
            host="localhost",
            user="user",
            passwd="password",
            database="myDatabase"
        ) as myDB:
            with myDB.cursor() as myCursor:
                # 用字符串格式化处理表名，并用反引号包裹防止特殊字符
                query = f"SELECT PM_KEY FROM `{tablename}` WHERE PM_KEY = %s;"
                # 主键值仍用参数化查询，避免SQL注入
                myCursor.execute(query, (pm_key,))
                # 用fetchone()代替fetchall()，只需判断是否存在一条记录即可
                exists = myCursor.fetchone() is not None
                if exists:
                    logging.warning(f"{pm_key} Entry already exists")
                return exists
    except mysql.connector.Error as e:
        logging.error(f"Database error: {e}")
        return False

关键修改点说明 #

• 表名处理：用字符串格式化f"{tablename}"拼接表名，同时用反引号``包裹，避免表名包含特殊字符时出错；同时添加了表名白名单，防止恶意输入导致SQL注入。
• 参数化保留：主键值pm_key仍然用参数化占位符%s，这是安全的，能避免SQL注入。
• 资源管理：用with语句管理数据库连接和游标，不需要手动关闭，程序会自动处理，避免资源泄漏。
• 效率优化：用fetchone()代替fetchall()，只要查到一条记录就说明存在，不需要获取所有结果，更高效。
• 错误修正：修正了函数名拼写错误（already_esists→already_exists），以及logging中未定义的primary_key变量（改为pm_key）。
• 异常处理：添加了数据库错误捕获，避免程序因连接失败等问题直接崩溃。

注意事项 #

• 绝对不要直接将用户输入的表名传入这个函数，必须通过白名单验证或者其他方式确保表名是可信的，否则会有严重的SQL注入风险。
• 如果你的表主键列名不是统一的PM_KEY，可以考虑把主键列名也作为参数传入，但同样要注意安全验证。

内容的提问来源于stack exchange，提问作者Gabrielek