Python将None转换为SQL原生NULL的非字符串解决方案

直接用f-string拼接SQL语句时，Python原生None类型通过f-string转字符串后会输出"None"，不符合SQL语法中NULL关键字的要求；手动给变量赋值字符串"NULL"不仅维护成本高，还容易混淆字符串值和SQL空值类型，同时f-string直接拼接SQL本身存在SQL注入的安全隐患。

方案1：数据库驱动参数化查询（生产环境首选） #

所有遵循Python DB API规范的数据库驱动（sqlite3、pymysql、psycopg2等）都内置类型适配逻辑：当传入参数为Python原生None时，驱动会自动将其转换为SQL层面的NULL值，不会生成"None"字符串，同时从根源避免SQL注入风险，完全不需要手动给变量赋值字符串类型的"NULL"。

改造后的代码示例：

lines = []
# 注意不同数据库占位符有区别：MySQL/SQLite用%s，PostgreSQL用%s或%(name)s
placeholder = "%s"
# 提前拼接固定的INSERT语句模板，值部分全部用占位符代替
insert_template = f"INSERT INTO {tableName} ({', '.join(var_list)}) VALUES ({','.join([placeholder]*len(var_list))});"

for i in range(len(sig.IMU.time)):
    # 缺失的四元数字段直接赋值Python原生None即可，不需要转字符串
    lshank_quat_x = lshank_quat_y = lshank_quat_z = None
    rshank_quat_x = rshank_quat_y = rshank_quat_z = None
    sacrum_quat_x = sacrum_quat_y = sacrum_quat_z = None

    # 按字段顺序组装参数元组，传感器值正常读取即可
    insert_params = (
        sig.IMU.Lshank.time[i],
        sig.IMU.Lshank.a[i][0], sig.IMU.Lshank.a[i][1], sig.IMU.Lshank.a[i][2],
        sig.IMU.Lshank.w[i][0], sig.IMU.Lshank.w[i][1], sig.IMU.Lshank.w[i][2],
        sig.IMU.Lshank.m[i][0], sig.IMU.Lshank.m[i][1], sig.IMU.Lshank.m[i][2],
        lshank_quat_x, lshank_quat_y, lshank_quat_z,
        sig.IMU.Rshank.time[i],
        sig.IMU.Rshank.a[i][0], sig.IMU.Rshank.a[i][1], sig.IMU.Rshank.a[i][2],
        sig.IMU.Rshank.w[i][0], sig.IMU.Rshank.w[i][1], sig.IMU.Rshank.w[i][2],
        sig.IMU.Rshank.m[i][0], sig.IMU.Rshank.m[i][1], sig.IMU.Rshank.m[i][2],
        rshank_quat_x, rshank_quat_y, rshank_quat_z,
        sig.IMU.Sacrum.time[i],
        sig.IMU.Sacrum.a[i][0], sig.IMU.Sacrum.a[i][1], sig.IMU.Sacrum.a[i][2],
        sig.IMU.Sacrum.w[i][0], sig.IMU.Sacrum.w[i][1], sig.IMU.Sacrum.w[i][2],
        sig.IMU.Sacrum.m[i][0], sig.IMU.Sacrum.m[i][1], sig.IMU.Sacrum.m[i][2],
        sacrum_quat_x, sacrum_quat_y, sacrum_quat_z,
        sig.time[i],
        sig.force[i][0], sig.force[i][1], sig.force[i][2]
    )
    # 执行时直接传入模板和参数即可，驱动会自动处理类型转换
    # cursor.execute(insert_template, insert_params)
    # 批量执行可以把参数攒到列表，最后用executemany一次性提交
    lines.append(insert_params)

# 批量执行示例
# cursor.executemany(insert_template, lines)
# db_conn.commit()

方案2：统一值转换函数（适用于导出纯SQL脚本场景） #

如果业务场景是生成可直接执行的.sql文本文件，无法通过数据库驱动传参，可以封装一个通用的SQL值格式化函数，自动识别None转换为无引号的SQL NULL关键字，同时自动处理数值、字符串的格式适配，不需要每个变量手动赋值"NULL"。

转换函数示例：

def format_sql_value(val):
    if val is None:
        # None直接返回SQL NULL关键字，不带引号
        return "NULL"
    elif isinstance(val, (int, float)):
        # 数值类型直接转字符串输出
        return str(val)
    elif isinstance(val, str):
        # 字符串类型自动转义单引号，外层包裹单引号
        escape_val = val.replace("'", "''")
        return f"'{escape_val}'"
    # 其他数据类型（比如时间、布尔值）可以按业务需求自行扩展适配逻辑
    else:
        return str(val)

使用时，所有缺失值直接赋值Python原生None，在f-string中把每个待拼接的值套上该函数即可，示例：

insert_query = f"INSERT INTO {tableName} ({', '.join(var_list)}) VALUES (" \
f"{format_sql_value(sig.IMU.Lshank.time[i])}, " \
f"{format_sql_value(lshank_accel_x)}, {format_sql_value(lshank_accel_y)}, ... ," \
f"{format_sql_value(lshank_quat_x)}, ... , {format_sql_value(grf_z)});\n"

• 禁止直接用f-string拼接外部可控的变量到SQL语句中，会引发严重的SQL注入漏洞，生产环境优先选择参数化查询方案。
• 不要用字符串"NULL"代表数据库空值，后续逻辑迭代时很容易和真实的字符串内容"NULL"混淆，用Python原生None代表缺失值更符合语言语义，也方便统一适配。

内容的提问来源于stack exchange，提问作者College BGI