Python SQLite3 API应用查询含单引号数据报错，求最优解决方案

你遇到的错误完全是直接用str.format()拼接SQL语句导致的。当name字段包含单引号时，拼接后的SQL会变成这样：

SELECT * FROM items WHERE name='Example with ' name'

字符串里的单引号提前闭合了WHERE子句的字符串值，后面的 name成了无意义的语法碎片，SQLite自然会报语法错误。更严重的是，这种写法还存在SQL注入风险，恶意输入可能直接篡改你的SQL逻辑。

SQLite3（以及几乎所有数据库驱动）都支持参数化查询，它会自动处理所有特殊字符的转义，同时彻底避免SQL注入，这是数据库操作的行业标准做法。正确写法是用?作为占位符，把查询参数以元组形式传给execute()方法：

received_data = {"name": "Example with ' name", "price": 43,...}
# 使用?作为占位符，参数放在元组中传入
new_item = cursor.execute("SELECT * FROM items WHERE name=?", (received_data['name'],)).fetchall()

为什么这是最优解？ #

• 自动处理特殊字符：不管用户输入单引号、双引号、反斜杠还是其他特殊字符，驱动都会自动转义，不会破坏SQL语法结构。
• 彻底规避SQL注入：参数化查询会把SQL逻辑和数据完全分开，用户输入的数据永远不会被当作SQL代码执行，这是数据库安全的核心准则。
• 代码更简洁可靠：不用手动写复杂的转义逻辑，减少人为出错的概率。

你提到写入数据库时没问题，大概率是因为写入操作无意中用了参数化写法（比如INSERT语句用了占位符），而查询时没遵循同样的规范。记住：所有涉及用户输入的数据库操作，都必须使用参数化查询，绝对不要手动拼接SQL字符串。

内容的提问来源于stack exchange，提问作者Богдан Божић