Python变量同名SQLite表查询报错：sqlite3语法错误

错误原因 #

SQLite的参数化占位符?仅能用来替换查询中的值（比如WHERE子句里的条件值），不能用于替换表名、列名这类SQL标识符。直接把表名用?代入，SQL解析器会判定语法非法，触发OperationalError。

解决方案 #

1. 提取合法表名列表：从names表查询得到所有允许的表名，原代码将查询结果转字符串再拆分的处理方式完全错误，需直接提取表名字段。
2. 校验输入合法性：确认输入的关键词在合法表名列表内，避免SQL注入风险。
3. 用字符串格式化插入表名：因参数化不支持标识符替换，校验安全后，用字符串格式化将表名拼接进SQL语句。

修正后的完整代码 #

issue = input("BOT: Hello, please specify your issue\nType here:  ")
issue = issue.lower()
x = issue.split(" ")

# 提取合法表名列表，正确处理fetchall的结果
c.execute("SELECT Names FROM names")
valid_tables = [row[0].lower() for row in c.fetchall()]

right = False
space = 0
while space < len(x) and not right:
    current_word = x[space]
    if current_word in valid_tables:
        # 校验通过后，用字符串格式化插入表名
        c.execute(f"SELECT solutions FROM {current_word}")
        do = c.fetchall()
        right = True  # 匹配成功后退出循环
    space += 1

# SELECT查询无需commit，仅修改数据时需要
# conn.commit()  # 该行可删除

额外注意事项 #

• 原代码中conn.commit()在SELECT查询后属于冗余操作，仅INSERT/UPDATE/DELETE这类修改数据的操作才需要调用commit。
• 必须先校验表名合法性，直接拼接用户输入会存在SQL注入风险，这一步是必要的安全保障。

内容的提问来源于stack exchange，提问作者Ben Clarke