Jupyter SQL Magic动态查询内联执行空结果 单独单元格执行正常

待排查的SQL查询如下，目标匹配columns_name值为example text 9999-的记录（数字前存在双空格、值末尾带短横线，是该值和其他正常查询值的唯一格式差异）：

SELECT
    *
FROM my_table
WHERE
    columns_name = 'example text  9999-'

在Jupyter环境中，查询从pandas DataFrame动态生成，对应Python代码：

for index, row in df.iterrows():
   needed_value = row['columns_name']
   query_string = f"""
   SELECT
       *
   FROM my_table
   WHERE
       columns_name = '{needed_value}'
   """
   
   result_set = %sql $query_string
   # 对result_set做后续处理

异常表现 #

• 查询执行全程无报错，但仅匹配上述带双空格、末尾短横线格式的字符串时，返回的结果DataFrame为空，其余值查询均正常
• 将相同SQL语句放在独立单元格，通过%%sql单元格魔法执行时，可以正常返回正确结果

核心问题是%sql行魔法和%%sql单元格魔法的解析逻辑存在差异：

• %%sql单元格魔法会将首行参数外的所有单元格内容原封不动传递给数据库驱动，不会额外做类Shell的命令行参数拆分，因此硬编码值的查询可以正常执行
• %sql行魔法会先对整行传入的内容做命令行参数规则解析，旧版本ipython-sql/JupySQL的解析逻辑存在缺陷：当传入的SQL语句中，引号包裹的字符串值前带双空格、末尾紧接短横线-时，解析器会误将该短横线识别为魔法命令的选项前缀，截断实际传递给数据库的匹配值，最终执行的SQL里匹配值变成了'example text 9999'，和库中存储的example text 9999-不匹配，因此返回空结果。
  另外通过f-string直接拼接SQL的写法本身存在SQL注入风险，一旦needed_value中包含单引号，会直接触发SQL语法错误，不建议使用。

不要拼接完整SQL字符串再通过$传递给行魔法，直接使用JupySQL原生的参数绑定能力，既可以绕过行魔法的参数解析缺陷，也能避免SQL注入风险：

for index, row in df.iterrows():
    needed_value = row['columns_name']
    # 通过:变量名的方式绑定参数，魔法会自动做类型转义和安全处理
    result_set = %sql SELECT * FROM my_table WHERE columns_name = :needed_value
    # 后续处理逻辑保持不变

如果确实需要动态拼接完整SQL语句，可以直接调用数据库连接的execute方法，完全绕过魔法命令的参数解析逻辑：

# 先获取当前环境活跃的数据库连接
conn = %sql --get-connection
from sqlalchemy import text

for index, row in df.iterrows():
    needed_value = row['columns_name']
    query = text("SELECT * FROM my_table WHERE columns_name = :val")
    # 直接执行查询，fetchdf()直接返回pandas DataFrame
    result_set = conn.execute(query, {"val": needed_value}).fetchdf()
    # 后续处理

内容的提问来源于stack exchange，提问作者drake10k