Django raw queries执行Postgres DECLARE变量报错及SQL参数化咨询

你遇到的语法错误和Django是否支持SELECT语句无关，核心是两个语法使用错误：

• PostgreSQL中用于声明变量的DECLARE关键字只能在PL/pgSQL语法块（存储过程、函数、DO语句块）内部使用，不能直接拼在普通SQL语句前平铺执行。直接在普通查询里写DECLARE，数据库会把它识别为「定义游标」的SQL命令，该语法下DECLARE后需要跟游标名、CURSOR FOR子句，自然会在你写date类型的位置抛语法错。
• 即使是在PL/pgSQL块内写变量声明，一个块内只需要写一次DECLARE，多个变量直接在后续换行定义即可，不需要每个变量前都加DECLARE。
• 另外你贴的示例代码还有两处笔误：with with重复写了两次with关键字，参数列表里的to_date'多了一个多余的单引号，后续调试时也需要修正。

首先纠正一个认知误区：按位置匹配的%s不是Python连接PostgreSQL唯一的参数化方式，完全可以适配你「SQL存放在外部文件、参数顺序不固定」的场景，不需要用DECLARE绕路，更不需要退回有注入风险的字符串替换。

最优方案：使用psycopg2的命名参数占位符（改造成本最低） #

Django连接PostgreSQL底层用的是psycopg2驱动，原生支持%(参数名)s格式的命名占位符，不需要关心参数在SQL中出现的顺序、出现次数，只需要在执行时传入和占位符同名键的字典即可，底层由驱动完成安全的参数化转义，彻底杜绝SQL注入风险。
这个方案和你现有的文件结构适配度极高：你只需要把SQL文件里原来的%%from_date%%、%%to_date%%这类自定义占位符，批量替换为%(from_date)s、%(to_date)s格式即可，不需要调整SQL逻辑。
对应你示例的代码如下：
SQL文件内容：

select * from table1 where date_col between %(from_date)s and %(to_date)s

Python执行代码：

from django.db import connection
from datetime import date

# 读取外部SQL文件内容
# with open("your_sql_file.sql", "r", encoding="utf-8") as f:
#     query = f.read()

query = "select * from table1 where date_col between %(from_date)s and %(to_date)s"
# 用字典传参，不需要关心参数顺序
params = {
    "from_date": date(2022, 1, 1),
    "to_date": date(2022, 1, 31)
}

with connection.cursor() as cursor:
    cursor.execute(query, params)
    results = cursor.fetchall()

备选方案：用CTE模拟SQL内变量定义 #

如果你确实需要在SQL逻辑内提前固定参数值做后续复杂计算，不需要切到PL/pgSQL语法，用普通SQL的CTE即可实现变量效果，同样可以配合命名参数使用：

WITH sql_params AS (
    SELECT
        %(from_date)s::date as from_date,
        %(to_date)s::date as to_date
)
SELECT t.*
FROM table1 t
CROSS JOIN sql_params p
WHERE t.date_col BETWEEN p.from_date AND p.to_date

注意：不要自行实现字符串替换/转义逻辑，驱动层的参数化机制是经过长期安全验证的，自行处理很容易留下注入漏洞。

内容的提问来源于stack exchange，提问作者Cptmaxon