如何在SQLAlchemy中动态传入列名作为查询参数？

你遇到的问题是因为:selected_column属于值绑定参数，SQLAlchemy会把它当作字符串值处理，最终执行的SQL其实是SELECT 'col1' FROM example_table，所以返回的是字符串'col1'而非对应列的数据。下面是几种可行的解决方法：

方法1：在text语句中使用标识符绑定 #

通过bindparam指定参数类型为标识符，让SQLAlchemy识别它是列名而非字符串值：

from sqlalchemy import text, bindparam, literal_column

result = connection.execute(
    text("SELECT :selected_column FROM example_table").bindparams(
        bindparam("selected_column", type_=literal_column)
    ),
    {"selected_column": "col1"}
).fetchall()

如果参数来源完全可信（比如内部固定值），也可以直接用字符串插值，但绝对不要用在用户输入的场景，避免SQL注入：

selected_col = "col1"
result = connection.execute(
    text(f"SELECT {selected_col} FROM example_table")
).fetchall()

方法2：用SQLAlchemy Core API构建查询（推荐） #

用Core的表和列对象动态构建查询，既安全又能自动处理标识符：

from sqlalchemy import select, MetaData, Table

# 加载表结构
metadata = MetaData()
example_table = Table("example_table", metadata, autoload_with=connection)

selected_col = "col1"
# 动态获取列对象
target_col = example_table.c[selected_col]
result = connection.execute(select(target_col)).fetchall()

关键安全提醒 #

如果列名来自不可信来源（比如用户输入），必须做白名单校验，防止SQL注入：

# 获取表的所有合法列名
allowed_cols = [col.name for col in example_table.c]
if selected_col not in allowed_cols:
    raise ValueError("非法的列名")

内容的提问来源于stack exchange，提问作者NFeruch - FreePalestine