SQL参数化疑问：字典传参优势与IN子句参数化实现

疑问1：为什么要将field_id存入字典后再构建SQL？ #

这是参数化查询的标准实现方式，核心目的有两个：

1. 防止SQL注入：直接拼接字符串会让恶意输入篡改SQL逻辑（比如field_id传入1 OR 1=1），而参数化查询会让数据库把参数作为纯数据处理，不会解析为SQL语句的一部分。
2. 数据库预编译优化：数据库可以预先编译SQL模板，后续传入不同参数时复用执行计划，提升查询效率。
   用字典存储参数是因为代码里用了命名占位符（%(logical_field_id)s），相比位置占位符（%s），命名参数可读性更强，当SQL中有多个参数时，能清晰对应每个参数的含义，也避免了参数顺序错误的问题。

参考代码：

def get_related_art(self, field_id):                                                
    parameters = {"logical_field_id": field_id}
    sql = (
        "SELECT a.id AS id,"
        "  a.name AS name,"
        "  a.description AS description,"
        "  a.type AS type,"
        "  a.subtype AS subtype "
        " FROM ArtclTbl AS a INNER JOIN ("
        "   SELECT article_id AS id FROM LogFldArtclTbl"
        "     WHERE logical_field_id = %(logical_field_id)s"
        " ORDER BY a.name"
    )
    return self.query(sql, parameters=parameters)

疑问2：为什么返回时用parameters=parameters而非直接传parameters？ #

这和安全性无关，是Python关键字参数的使用规范：

• 假设self.query的函数定义是def query(self, sql, parameters=None):，显式传入parameters=parameters是为了明确指定参数名称，避免位置参数的顺序错误。
• 当函数参数较多时，显式关键字参数能让代码更易读，维护者一眼就能知道这个参数的作用，也避免后续函数参数顺序调整时出现兼容问题。

疑问3：如何正确参数化含IN子句的SQL？ #

你之前的尝试错误在于直接把列表转字符串，导致生成([ebyte1, ebyte2])这种不符合SQL语法的格式。正确的做法是根据IN子句的元素数量动态生成占位符，再把列表作为参数传入。

待参数化的原始代码（存在SQL注入风险）： #

def get_group_fields(self, exbytes=None):
    parameters = {}
    where_clause = (
        f"WHERE eig_eb.ebyte in ({', '.join(str(e) for e in exbytes)})" if exbytes else ""
    )
    sql = (
        "SELECT l.id AS id, "
        "  eig_eb.ebyte AS ebyte, "
        "  eig.id AS instrument_group_id, "
        "  eig_lf.relationship_type AS relationship "
        # 省略其他字段
        f" {where_clause}"
    )

正确的参数化实现： #

根据你使用的数据库驱动，分两种情况：

1. 支持列表直接作为参数的驱动（如psycopg2）：

def get_group_fields(self, exbytes=None):
    parameters = {}
    where_clause = ""
    if exbytes:
        where_clause = "WHERE eig_eb.ebyte IN %(exbytes)s"
        parameters["exbytes"] = tuple(exbytes)  # 转成元组，部分驱动要求
    sql = (
        "SELECT l.id AS id, "
        "  eig_eb.ebyte AS ebyte, "
        "  eig.id AS instrument_group_id, "
        "  eig_lf.relationship_type AS relationship "
        # 省略其他字段
        f" {where_clause}"
    )
    return self.query(sql, parameters=parameters)

2. 需要生成多个占位符的驱动（如MySQLdb）：

def get_group_fields(self, exbytes=None):
    parameters = {}
    where_clause = ""
    if exbytes:
        # 生成对应数量的命名占位符
        placeholders = ", ".join([f"%(eb_{i})s" for i in range(len(exbytes))])
        where_clause = f"WHERE eig_eb.ebyte IN ({placeholders})"
        # 将每个元素存入参数字典
        for i, eb in enumerate(exbytes):
            parameters[f"eb_{i}"] = eb
    sql = (
        "SELECT l.id AS id, "
        "  eig_eb.ebyte AS ebyte, "
        "  eig.id AS instrument_group_id, "
        "  eig_lf.relationship_type AS relationship "
        # 省略其他字段
        f" {where_clause}"
    )
    return self.query(sql, parameters=parameters)

你之前尝试的错误点： #

• 直接用str(exbytes)会把Python列表的格式（带[]）带入SQL，导致语法错误；
• 把逗号拼接的字符串作为参数传入会被数据库当成单个字符串值，而非多个独立参数，无法匹配IN子句的需求。

内容的提问来源于stack exchange，提问作者personalt