SQLAlchemy能否通过text()查询参数传入表名及报错原因

text()构造里的:param格式绑定参数，底层依赖数据库驱动的预编译参数绑定能力，这套机制从设计上就只支持替换SQL语句里的「值」位置，不支持替换表名、字段名、SQL关键字这类属于SQL语法结构的「标识符」位置。
当你把表名、字段名作为绑定参数传入时，数据库驱动会把这部分内容当成普通字符串值处理，自动给它加上值对应的引号（比如字符串值加单引号），最终生成的SQL会变成类似下面的错误语法：

SELECT * FROM 'table_1' WHERE 'name' = 'John'

这里表名table_1、字段名name都被加上了单引号变成了字符串常量，完全不符合SQL语法规则，自然会报错。
顺带说明：你给出的第一段“可正常运行”的代码其实存在逻辑bug——你把字段名condition_1也作为绑定参数传入，最终WHERE子句的判断逻辑是常量字符串'name' = 常量字符串'John'，并不是对name字段做值匹配，只是因为语法上常量比较是合法的，所以没有抛错，本质也是错误的参数用法。

核心原则：标识符（表名、字段名）走白名单校验后拼接，查询值走参数绑定，不要尝试用绑定参数传标识符。

推荐方案：白名单校验后拼接标识符 #

这是最稳妥、兼容性最好的方案，可完全规避注入风险：

from sqlalchemy import create_engine
from sqlalchemy.sql import text

db_engine = create_engine(...)

# 1. 提前维护允许访问的表、字段白名单，禁止外部传入白名单外的标识符
ALLOWED_TABLES = {"table_1", "user", "order"}
ALLOWED_FIELDS_PER_TABLE = {
    "table_1": {"name", "id", "age"},
    "user": {"username", "email", "user_id"}
}

# 2. 接收外部传入的参数
input_table = "table_1"
input_field = "name"
input_value = "John"

# 3. 先对标识符做严格白名单校验
if input_table not in ALLOWED_TABLES:
    raise ValueError("非法表名，禁止访问")
if input_field not in ALLOWED_FIELDS_PER_TABLE[input_table]:
    raise ValueError("非法查询字段，禁止访问")

# 4. 校验通过的标识符可以安全拼接到SQL中，查询值依然用绑定参数传
query = text(f"SELECT * FROM {input_table} WHERE {input_field} = :val")
result = db_engine.execute(query, val=input_value).fetchall()

如果你的表名/字段名包含空格、特殊字符、和数据库关键字重名，可以用SQLAlchemy自带的quoted_name方法对校验过的标识符做转义，自动适配不同数据库的标识符引号规则（比如MySQL用反引号、PostgreSQL用双引号）：

from sqlalchemy.sql import quoted_name

# 白名单校验通过后转义
safe_table = quoted_name(input_table, quote=True)
safe_field = quoted_name(input_field, quote=True)
query = text(f"SELECT * FROM {safe_table} WHERE {safe_field} = :val")

❗ 注意：绝对不能跳过白名单校验，直接把外部传入的表名、字段名拼接到SQL中，否则会和直接拼接查询值一样，存在严重的SQL注入漏洞。

内容的提问来源于stack exchange，提问作者Casper Lindberg