Python如何基于字典生成SQL Server的正确UPDATE语句并执行

现有可正常运行的参数化INSERT语句，需要改写为符合SQL规范的UPDATE语句，初始尝试的写法无法生成合法SQL，相关代码和测试数据如下：

• 正常运行的INSERT代码

query = "INSERT TABLE ({columns}) VALUES ({value_placeholders})".format(
    columns=", ".join(my_dict.keys()),
    value_placeholders=", ".join(["?"] * len(my_dict)),
)

cursor.execute(query, list(my_dict.values()))

• 错误的UPDATE尝试代码

query = "UPDATE TABLE SET ({columns}) ({value_placeholders}) WHERE ID = ({id})".format(
    columns=", ".join(my_dict.keys()),
    value_placeholders=", ".join(["?"] * len(my_dict)),
    id=id
)

cursor.execute(query, list(my_dict.values()))

• 测试用字典结构

my_dict ={
 'key1': '1',
 'key2': 'whatever',
 'key3': Timestamp('1970-01-01 00:27:34.883683354'),
 'key4': 'blabla',
 'key5': Timestamp('1970-01-01 00:27:34.883882086'),
 'ID': 11
}

• 语法逻辑混淆：SET (列列表) (值列表)是INSERT语句的语法结构，标准SQL的UPDATE SET子句要求每个赋值项写成列名=值/占位符的格式，多个赋值项用逗号分隔。
• 字段处理错误：直接把字典所有键放入更新列列表，会把主键ID也作为待更新字段，和WHERE条件的逻辑冲突，同时传入execute的参数列表没有覆盖WHERE子句的占位符，会触发参数数量不匹配的报错。
• 表名占位符未替换：语句里直接写TABLE是占位标识，实际执行需要替换为真实的业务表名。

通用兼容所有支持参数化查询数据库的写法如下，会自动拆分更新字段和主键ID，避免SQL注入风险：

# 拆分待更新字段和主键ID，避免ID被意外修改
update_fields = {k: v for k, v in my_dict.items() if k != "ID"}
target_id = my_dict["ID"]

# 拼接SET子句，每个字段对应一个?占位符
set_segment = ", ".join([f"{col} = ?" for col in update_fields.keys()])

# 拼接完整UPDATE语句，注意替换为真实表名
update_query = f"UPDATE 替换为你的实际表名 SET {set_segment} WHERE ID = ?"

# 传入参数顺序：先传所有待更新字段的值，最后传WHERE条件的ID值
cursor.execute(update_query, list(update_fields.values()) + [target_id])

如果你使用的是PostgreSQL等支持元组赋值语法的数据库，也可以写成SET (col1, col2) = (?, ?)的格式，但上面的写法兼容性最好，MySQL、SQLite、SQL Server等主流数据库都可以直接运行。

内容的提问来源于stack exchange，提问作者Mitch