Python使用Prepared Statement遇SQL语法错误的排查与解决

你遇到的问题核心在于：Python的Prepared Statement（预编译语句）只能用来绑定SQL查询中的值**，不能用来绑定表名、列名这类SQL结构元素**。

为什么之前的代码会报错？ #

当你尝试用%s绑定表名operations时，数据库会把这个%s（或者预编译后的?）当成一个普通的字符串值来处理，最终生成的SQL会变成类似：

SELECT * FROM 'operations' WHERE name = 'check'

而SQL里表名是不需要加引号的，这就直接导致了语法错误——这就是你看到1064 (42000)错误的原因。

不管你用位置参数%s还是命名参数%(table)s，本质都是在给值占位，数据库不会把它们解析成SQL的结构部分，所以这种方法从一开始就行不通。

正确的解决方式 #

你需要先把表名直接拼接到SQL字符串中，然后用预编译参数绑定处理name这类值。但要注意：直接拼接表名有SQL注入风险，必须先验证表名的合法性。

修改后的代码示例：

cursor = con.db.cursor(prepared=True)
target_table = 'operations'

# 关键：先验证表名是否在允许的列表内，避免SQL注入
allowed_tables = ['operations', 'products', 'users']  # 根据你的实际表名调整
if target_table not in allowed_tables:
    raise ValueError("Invalid table name - 不允许访问该表")

try:
    # 表名直接拼接，值用%s绑定
    cursor.execute(f"SELECT * FROM {target_table} WHERE name = %s", ('check', ))
    # 获取结果
    result = cursor.fetchall()
    print(result)
except mysql.connector.Error as error:
    print(error)
except TypeError as e:
    print(e)

补充说明 #

预编译语句的设计目的是为了：

1. 避免SQL注入（针对值参数）
2. 重复执行相同结构的SQL时提升性能

但它的工作机制是先让数据库编译固定结构的SQL模板，所以表名、列名这类必须在编译阶段确定的元素，无法通过参数绑定来动态替换。

内容的提问来源于stack exchange，提问作者Tyler Perry