使用mysql.connector在Python中动态创建表遇语法错误求助

错误原因 #

mysql的参数化查询接口（execute()的第二个参数）仅用于传递SQL值参数，会自动对参数添加单引号包裹。你将列定义语句作为参数传入时，整个列定义字符串被转义成了带单引号的格式，导致SQL语法结构被破坏，这就是报错的根源。

正确解决方案 #

直接拼接完整的SQL语句（注意确保表名、列名来源安全，避免SQL注入），再执行语句。以下是修改后的代码：

import mysql.connector

db = mysql.connector.connect(user='root',
                             password='mypassword',
                             host='127.0.0.1',
                             database='database_name')

# 用列表存储列定义，支持动态增减列
columns = [
    '`col1` VARCHAR(32) NOT NULL',
    '`col2` VARCHAR(32) NOT NULL',
    '`col3` VARCHAR(32) NOT NULL'
]
table_suffix = 'users'
table_name = f'tb_{table_suffix}'

# 拼接完整CREATE TABLE语句
create_sql = f'''
CREATE TABLE `{table_name}` (
    `product_id` INT NOT NULL AUTO_INCREMENT,
    `description` VARCHAR(255), 
    {', '.join(columns)},
    PRIMARY KEY (`product_id`)
);
'''

with db.cursor(buffered=True, dictionary=True) as c:
    c.execute(create_sql)
    db.commit()

关键注意点 #

1. 避免多余逗号：用', '.join(columns)自动拼接列定义，不会在最后一列末尾留下多余逗号，防止语法错误。
2. AUTO_INCREMENT必须绑定主键：MySQL要求AUTO_INCREMENT列必须是主键或唯一索引，所以必须添加PRIMARY KEY (product_id)。
3. SQL注入防护：如果表名、列名来自用户输入，必须严格校验格式（仅允许字母、数字、下划线），或者用mysql.connector.converter.MySQLConverter.escape()方法转义标识符。

补充说明 #

你之前单个列的场景看似可行，是因为仅传递了列名字符串，参数化接口处理后只是给列名加了单引号（刚好符合标识符的引号规则），但这种方式依然不安全，且无法适配多列动态场景，因此不推荐。

内容的提问来源于stack exchange，提问作者vitxr