Python命令行传入带参数SQL查询执行报错求解

错误根源 #

你的问题出在两个核心点：

1. pyodbc参数占位符误用：pyodbc遵循ODBC标准，参数占位符必须用?，而非Python字符串格式化的%s。当SQL中出现%s时，pyodbc会尝试用Python的%运算符直接格式化语句，而非安全的参数绑定逻辑。
2. 命令行参数解析异常：如果在shell中直接传入带%s的SQL，%会被shell当作特殊字符处理（比如bash中会忽略或替换未转义的%s），导致实际传入Python的SQL语句丢失占位符，进而触发参数不匹配的错误。

修正方案 #

1. 替换为正确的参数占位符 #

将SQL语句中的%s替换为?，这是pyodbc官方推荐的安全参数绑定方式，同时避免shell解析问题：

Select column1, column2 from Table where Column3 = 'America' and column2 = ?

2. 调整Python代码（补全必要逻辑） #

import sys
import pyodbc

state = 'NY'
# 填入实际的数据库连接字符串，示例为SQL Server格式
conn = pyodbc.connect("DRIVER={SQL Server};SERVER=your_server;DATABASE=your_db;UID=user;PWD=password")
Query = sys.argv[1]
cur = conn.cursor()
# 使用?占位符时，直接传入参数列表即可
cur.execute(Query, [state])

# 示例：获取并打印查询结果
for row in cur.fetchall():
    print(row)

cur.close()
conn.close()

3. 正确执行命令 #

在命令行中直接传入带?的SQL语句（?在shell中无需转义）：

python your_script.py "Select column1, column2 from Table where Column3 = 'America' and column2 = ?"

为什么不推荐继续用%s？ #

如果坚持用%s，需要在命令行中对%进行转义（比如bash中写成\%s），但这种方式本质是字符串拼接，存在SQL注入风险，且依赖shell转义规则，稳定性差。使用?的参数绑定由数据库驱动处理参数转义，是安全且可靠的做法。

内容的提问来源于stack exchange，提问作者user18697015