Python中如何在循环内向SQL语句传递多组参数组合？

首先得严肃提醒你：绝对不要用f-string或者字符串拼接的方式构造SQL语句——这会带来致命的SQL注入风险，而且如果参数里包含单引号这类特殊字符，还会直接导致SQL语法报错。

解决这个问题的正确姿势是用Python DBAPI原生支持的参数化查询，再结合zip()函数来配对你的两组参数，完美实现循环执行多组条件的需求。

具体实现步骤： #

1. 改写SQL语句：把原来的变量替换成数据库对应的占位符（不同数据库占位符略有区别：MySQL用%s，SQLite用?，PostgreSQL也常用%s），全程不要手动拼接任何变量。
2. 配对参数组：用zip()函数把你的prod_name和sale_date列表里的对应元素打包成元组，这样循环时每次能拿到一组完整的查询参数。
3. 循环执行查询：在循环里调用cursor.execute()，把SQL语句和参数元组传进去即可。

完整代码示例： #

# 你的参数列表
prod_names = ['prod_a','prod_b']
sale_dates = ['2020-01-01','2020-02-01']

# 注意：占位符根据你的数据库类型调整，这里以MySQL/PostgreSQL为例用%s
sql_query = "SELECT * FROM table WHERE product_name = %s AND date = %s"

# 用zip配对参数，循环执行查询
for prod, sale_date in zip(prod_names, sale_dates):
    cursor.execute(sql_query, (prod, sale_date))
    # 获取查询结果（根据需求用fetchone()/fetchall()等）
    query_results = cursor.fetchall()
    # 这里可以添加你对结果的处理逻辑，比如打印、存储等
    print(f"查询{prod}在{sale_date}的结果：{query_results}")

为什么这比你的原写法更好？ #

• 彻底规避SQL注入：参数化查询会由数据库驱动自动处理参数的转义，哪怕参数里包含恶意SQL代码也不会被执行。
• 无需处理特殊字符：比如如果某个产品名称是O'Neil，用字符串拼接会直接导致SQL语法错误，但参数化查询完全不用操心这个问题。
• 代码更简洁易维护：SQL结构和参数逻辑分离，可读性更高，后续修改条件也更方便。

如果你的两个参数列表长度不一致，zip()会以较短的列表为准停止循环；如果需要处理长度不一致的情况，可以用itertools.zip_longest()，不过这时候要注意处理None值的边界情况哦。

内容的提问来源于stack exchange，提问作者scott martin