SQLAlchemy/Python实现SQL查询动态变量注入的问题咨询

你当前的写法存在两个核心问题：

1. SQL语句中直接写email_address = email_address属于恒真条件，会返回全表数据，没有绑定用户输入的变量
2. 没有使用pd.read_sql自带的params参数传递变量，自行拼接SQL不仅容易语法出错，还存在SQL注入风险

修正后完整可运行代码 #

import pandas as pd
from sqlalchemy import create_engine, text

print("What is the email address?")
email_address = input().strip()

# 注意连接串修正：原写法参数分隔符错误，第二个?改为&，MSSQL默认端口为1433，如你自定义过端口可改回3306
engine = create_engine("mssql+pyodbc://test_table:username@127.0.0.1:1433/test_db?driver=SQL Server&Trusted_Connection=yes", echo=False)

# 推荐用法：用SQLAlchemy text对象的命名参数，兼容所有数据库驱动，无需记忆占位符差异
query_sql = """
SELECT id, email_address 
FROM test_table 
WHERE email_address = :input_email
"""
df = pd.read_sql(text(query_sql), engine, params={"input_email": email_address})

# 适配pyodbc原生占位符的简化写法，无需导入text：
# df = pd.read_sql("SELECT id, email_address FROM test_table WHERE email_address = ?", engine, params=[email_address])

print(df)

关键说明 #

• 不同数据库驱动的默认占位符规则不同，MySQL用%s、SQLite/pyodbc用?、PostgreSQL支持%s和命名参数，使用SQLAlchemy的text()对象加:参数名的命名参数写法可以完全规避这个兼容问题
• 所有动态参数统一通过pd.read_sql的params参数传递，框架会自动处理特殊字符转义，完全避免SQL注入风险
• 注意你原连接串的端口默认MSSQL为1433，3306是MySQL默认端口，如果确认MSSQL改了端口再保留3306即可

内容的提问来源于stack exchange，提问作者hectic