如何将SQL语句中的%s替换为实际值以验证查询准确性

要实现打印替换好实际参数的SQL语句，有两种常用方式，根据你使用的数据库驱动选择即可：

方法一：利用数据库驱动自带的参数替换方法 #

很多数据库驱动（比如PostgreSQL的psycopg2、MySQL的mysql-connector-python）都提供了内置方法，可以直接生成带实际参数的SQL字符串，这类方法会自动处理参数转义，安全且准确。

以psycopg2为例：

import psycopg2

sql = "SELECT column FROM table WHERE id=%s and name=%s"
args = ['1234', 'bob']

# 建立数据库连接
conn = psycopg2.connect("dbname=你的数据库名 user=用户名")
cursor = conn.cursor()

# 使用mogrify生成带参数的SQL字符串，decode转成可读文本
query_string = cursor.mogrify(sql, args).decode('utf-8')
print('SQL with values: ' + query_string)

# 执行原SQL（依然用参数化方式，避免注入）
cursor.execute(sql, args)
result = cursor.fetchone()

# 关闭资源
cursor.close()
conn.close()

MySQL的mysql-connector-python同样支持cursor.mogrify()方法，用法和上述示例一致。

方法二：手动替换参数（仅用于调试） #

如果你的驱动没有类似方法，可以手动实现参数替换，但只建议用于调试场景，生产环境必须使用参数化查询，避免SQL注入。

示例代码：

def format_sql_for_debug(sql, args):
    formatted_args = []
    for arg in args:
        if isinstance(arg, str):
            # 转义字符串中的单引号，并用单引号包裹
            formatted_arg = f"'{arg.replace(''', '''')}'"
        elif isinstance(arg, (int, float)):
            # 数字直接转字符串
            formatted_arg = str(arg)
        elif arg is None:
            # 空值替换为NULL
            formatted_arg = 'NULL'
        else:
            # 其他类型（如日期）用repr处理
            formatted_arg = repr(arg)
        formatted_args.append(formatted_arg)
    # 替换SQL中的占位符
    return sql % tuple(formatted_args)

# 使用示例
sql = "SELECT column FROM table WHERE id=%s and name=%s"
args = ['1234', 'bob']
query_string = format_sql_for_debug(sql, args)
print('SQL with values: ' + query_string)

# 执行时依然用参数化方式
with connection.cursor() as cursor:
    cursor.execute(sql, args)
    result = cursor.fetchone()

注意事项 #

• 手动替换必须处理参数转义，比如字符串中的单引号要转成双单引号，否则会导致SQL语法错误。
• 无论哪种方式，实际执行SQL时一定要用参数化查询（即cursor.execute(sql, args)的方式），不要执行拼接后的SQL，防止SQL注入攻击。

内容的提问来源于stack exchange，提问作者Chris Utter