向sqlite3数据库插入可变数量参数的实现方案咨询

原理是动态生成和待插入数据长度匹配的占位符串，再拼接为完整SQL执行，适配任意长度的数据：

# 生成N个?的占位符串，N等于self.data的元素个数
placeholders = ', '.join(['?'] * len(self.data))
# 拼接SQL并执行
self.conn.execute(f'INSERT INTO {self.table} VALUES ({placeholders})', self.data)

注意事项 #

• 如果self.table是用户可控的输入值，必须做白名单校验，仅允许预设的合法表名传入，避免SQL注入风险（表名无法通过参数化绑定，只能手动校验合法性）。
• 上述默认写法要求self.data的元素顺序和目标表的列定义顺序完全一致，否则会出现数据插错列的问题。如果不能保证顺序一致，可以先查询表元数据获取列名列表，显式指定插入列，兼容性更强：

# 示例为SQLite下查询表列名的实现，其他数据库可替换为对应元数据查询语法
cursor = self.conn.cursor()
cursor.execute(f"PRAGMA table_info({self.table})")
columns = [col_info[1] for col_info in cursor.fetchall()]

col_str = ', '.join(columns)
placeholders = ', '.join(['?'] * len(columns))
# 如果self.data是字典格式，可按列名顺序重排数据
ordered_data = [self.data[col] for col in columns] if isinstance(self.data, dict) else self.data

self.conn.execute(f'INSERT INTO {self.table} ({col_str}) VALUES ({placeholders})', ordered_data)

内容的提问来源于stack exchange，提问作者RyanArmstrong777