sqlite3.OperationalError near '<'语法错误：Python SQL格式化问题求解

错误原因 #

• 你使用f-string直接拼接SQL语句的写法存在两处核心问题：
  1. 字符串类型字段（例如StudentName）拼接时没有加单引号包裹，一旦字段值包含特殊符号、空格，或是属性转字符串后输出了带<的内容（比如未初始化的对象默认字符串表示为<类名 at 内存地址>格式），就会直接触发SQL语法解析错误，这就是你遇到sqlite3.OperationalError: near "<": syntax error的直接原因。
  2. 硬拼接SQL的方式存在SQL注入风险，属于数据库操作的不规范实现。

修复方法 #

使用sqlite3原生支持的参数化查询替换f-string拼接，用?作为值的占位符，参数通过execute方法的第二个参数传入，数据库驱动会自动完成类型转义、引号包裹等处理，无需手动处理格式：

def addStudent(self, curs: sql.Cursor):
    query = """INSERT INTO Student
            (StudentID, StudentName)
            VALUES (?, ?)"""
    # 参数以元组形式传入execute的第二个参数
    curs.execute(query, (self.StudentID, self.StudentName))

可选排查项 #

如果修改后仍有报错，可以打印self.StudentID、self.StudentName的实际值，确认两个属性在调用addStudent前已经完成正确赋值，不存在未初始化的对象。

内容的提问来源于stack exchange，提问作者Demigas