如何在psycopg2中插入可变长度列表到CockroachDB？

安全阿岳

2026-8-17

解决CockroachDB插入列表类型字段的语法错误问题

问题根源

直接把Python列表['值1', '值2']拼进SQL语句会触发语法错误，因为CockroachDB（兼容PostgreSQL）的数组类型要求使用SQL标准的ARRAY[...]语法；同时用f-string直接拼接SQL不仅会导致格式错误，还存在严重的SQL注入风险。

推荐解决方案：参数化查询

参数化查询会让数据库驱动自动处理变量的格式转换与安全转义，既解决语法问题又规避注入风险。

示例代码

import time
import psycopg2  # 假设使用psycopg2连接CockroachDB

def add_to_cockroach_db(event, list_variable):
    # 用占位符替代直接拼接变量，将参数传入execute的第二个参数
    cur.execute("""
        INSERT INTO database (a, b, c)
        VALUES (%s, %s, %s)
    """, (time.time(), event, list_variable))
    conn.commit()

关键说明

使用%s作为参数占位符（不同数据库驱动可能用?，psycopg2适配CockroachDB时用%s），驱动会自动把Python列表转换成CockroachDB支持的ARRAY['值1','值2']格式。
必须将变量以元组形式传给execute的第二个参数，绝对不能直接拼进SQL字符串。

备选方案：手动构造ARRAY语法（不推荐）

如果因特殊场景无法使用参数化查询，可手动构造符合SQL规范的数组格式，但需自行处理字符串转义，避免语法错误与注入：

def add_to_cockroach_db(event, list_variable):
    # 转义列表中的单引号，避免SQL语法冲突
    escaped_values = ["'" + val.replace("'", "''") + "'" for val in list_variable]
    array_str = f"ARRAY[{','.join(escaped_values)}]"
    # 其他变量仍用参数化处理，仅手动构造数组部分
    cur.execute("""
        INSERT INTO database (a, b, c)
        VALUES (%s, %s, %s)
    """, (time.time(), event, array_str))
    conn.commit()