在PostgreSQL中用psycopg2执行Python函数时遇UndefinedColumn错误求助

你的问题出在直接拼接SQL字符串且没有为字符串参数添加单引号，同时这种写法还存在严重的SQL注入风险，咱们一步步来解决：

为什么会报错？ #

看你生成的SQL语句：

SELECT hierro, registro, nombre, fecha_nacimiento, raza, sexo, hierro_madre, hierro_padre, clasificacion FROM animales WHERE animales.hierro = falsa

PostgreSQL看到falsa没有被单引号包裹，会默认把它当成一个列名，而你的表中并没有名为falsa的列，所以就抛出了UndefinedColumn错误。如果你的参数是数字类型可能不会报错，但字符串类型必须用单引号包裹才能被识别为字符串值。

更危险的问题：SQL注入 #

直接拼接用户输入（或任何外部参数）到SQL语句中是非常不安全的，攻击者可以构造恶意参数来执行任意SQL操作，比如删除你的整个表。这是数据库操作中必须避免的低级错误。

正确的做法：使用psycopg2的参数化查询 #

psycopg2支持参数化查询，它会自动帮你处理参数的引号、转义，同时彻底避免SQL注入风险。你需要修改你的函数和调用方式：

方式1：函数返回查询模板，调用时传入参数 #

def get_datos_animal():
    # 使用%s作为占位符（psycopg2的标准占位符，不是Python的格式化符）
    return "SELECT hierro, registro, nombre, fecha_nacimiento, raza, sexo, hierro_madre, hierro_padre, clasificacion FROM animales WHERE animales.hierro = %s"

# 调用时，把参数作为execute的第二个参数传入（必须是元组或列表）
cursorDB.execute(get_datos_animal(), ('falsa',))

方式2：函数封装查询和参数 #

如果你希望函数接收参数并返回完整的查询和参数组，可以这样写：

def get_datos_animal(hierro_v):
    query = "SELECT hierro, registro, nombre, fecha_nacimiento, raza, sexo, hierro_madre, hierro_padre, clasificacion FROM animales WHERE animales.hierro = %s"
    # 返回查询语句和参数元组
    return query, (hierro_v,)

# 调用示例
query, params = get_datos_animal('falsa')
cursorDB.execute(query, params)

对所有类似函数的建议 #

你提到有多个类似函数都出现相同错误，那所有直接拼接字符串的查询都要改成这种参数化的写法。记住：永远不要手动拼接参数到SQL语句中，让psycopg2来处理参数的安全传递。

内容的提问来源于stack exchange，提问作者Daniel Navarrete