如何让SQLAlchemy生成的插入/更新SQL不包含主键字段

你遇到的主键被包含在INSERT/UPDATE语句中的问题，由两个核心配置错误导致：

• 模型层的contactid主键没有显式标记为数据库自增字段，SQLAlchemy无法识别该字段的值由数据库自动生成，默认会将其纳入写入字段列表
• 直接使用form.populate_obj(r)会无差别赋值所有表单和模型匹配的字段，包括主键：新增场景下空的隐藏主键字段会给模型实例赋空值，覆盖ORM的自增主键默认逻辑；编辑场景下会把主键字段也加入UPDATE的SET子句

1. 修正模型主键配置 #

不要手动配置server_default调用序列，使用SQLAlchemy原生的自增主键声明，让ORM自动维护PostgreSQL的序列关联：
如果使用SQLAlchemy 1.4及以上版本，推荐使用标准的Identity列配置：

from sqlalchemy import BigInteger, Text, Identity

class Contact(db.Model):
    __tablename__ = 'contact'
    contactid = db.Column(BigInteger, Identity(start=1, increment=1), primary_key=True)
    firstname = db.Column(Text)
    lastname = db.Column(Text)

如果使用1.4以下的旧版本，直接给主键加上autoincrement=True参数即可：

contactid = db.Column(db.BigInteger, primary_key=True, autoincrement=True)

配置完成后，SQLAlchemy会自动识别该字段为数据库生成值，不会主动在INSERT语句中给该字段传值，插入完成后会通过PostgreSQL原生的RETURNING语法直接拿回生成的主键值，不需要额外执行SELECT查询。

2. 调整表单赋值逻辑，排除主键字段 #

主键属于系统管控字段，永远不应该被用户提交的表单值修改，因此在populate_obj时显式排除主键字段即可：

修复新增路由 #

@blueprint.route('/create', methods=['GET', 'POST'])
def create():
    form = ContactForm()
    if form.validate_on_submit():
        r = Contact()
        # 排除contactid字段，只赋值业务字段
        form.populate_obj(r, exclude=['contactid'])
        db.session.add(r)
        db.session.commit()
        flash("saved new record", "success")
        # 原代码直接return root()写法有误，统一用重定向
        return redirect(url_for('blueprint.root'))

    return render_template('contact/create.html', form=form)

修复编辑路由 #

同时给路由参数加上int类型转换器，避免非法参数类型报错：

@blueprint.route('/edit/<int:id>', methods=['GET', 'POST'])
def edit(id: int):
    r = Contact.query.get_or_404(id)
    form = ContactForm(obj=r)
    if form.validate_on_submit():
        # 同样排除contactid，避免更新主键
        form.populate_obj(r, exclude=['contactid'])
        db.session.commit()
        flash("updated record", "success")
        return redirect(url_for('blueprint.root'))

    return render_template('contact/edit.html', form=form)

配置完成后生成的SQL会完全符合你的预期：

• 新增时生成的SQL为INSERT INTO contact (firstname, lastname) VALUES (%(firstname)s, %(lastname)s) RETURNING contact.contactid，自动返回插入后的主键值
• 编辑时生成的SQL为UPDATE contact set firstname=%(firstname)s, lastname=%(lastname)s WHERE contactid = %(contactid)s，不会更新主键字段

提示：如果你不想在每次populate_obj时都写exclude参数，也可以直接在ContactForm类里删除contactid的HiddenField，编辑场景下直接从路由参数获取id查询模型即可，完全不需要在表单里存放主键值，从根源上避免主键被篡改的风险。

内容的提问来源于stack exchange，提问作者101010