使用psycopg2执行SQL时参数前自动加'E'致语法错误求助

问题根源 #

你遇到的报错本质是：psycopg2的%s占位符是为字符串、数值等字面量设计的，但CREATE EXTENSION语句中需要的是PostgreSQL的标识符（扩展名属于标识符范畴），不是带引号的字符串常量。当你用%s传递标识符时，psycopg2会自动将其转义为带E'...'的字符串格式，这不符合SQL语法要求，因此触发语法错误。

解决方案 #

psycopg2提供了专门的sql模块来安全处理SQL标识符和片段拼接，以下是两种标准处理方式：

1. 使用sql.Identifier包装标识符（推荐）

通过sql.Identifier包装扩展名，再用sql.SQL拼接完整查询语句，psycopg2会自动按照PostgreSQL标识符规则处理（比如特殊字符时添加双引号），同时避免SQL注入风险：

from psycopg2 import sql
import psycopg2

with psycopg2.connect(dbname=dbName, user=BDD_USER) as conn, conn.cursor() as curs:
    conn.autocommit = True
    # 构造安全的SQL查询
    query = sql.SQL('CREATE EXTENSION IF NOT EXISTS {}').format(sql.Identifier(extensionName))
    curs.execute(query)

2. 多标识符场景的扩展写法

如果需要同时指定schema和扩展名这类多标识符场景，只需依次传入多个sql.Identifier即可：

from psycopg2 import sql
import psycopg2

with psycopg2.connect(dbname=dbName, user=BDD_USER) as conn, conn.cursor() as curs:
    conn.autocommit = True
    query = sql.SQL('CREATE EXTENSION IF NOT EXISTS {} WITH SCHEMA {}').format(
        sql.Identifier(extensionName),
        sql.Identifier(targetSchema)
    )
    curs.execute(query)

注意事项 #

绝对不要用Python原生的字符串格式化（比如f-string、str.format()或%操作符）直接拼接SQL语句，这种做法会引入严重的SQL注入风险，而psycopg2的sql模块是官方推荐的安全处理方式。

内容的提问来源于stack exchange，提问作者Antonin