使用变量执行sqlite3 UPDATE操作时报语法错误如何解决

原有写法错误原因 #

• 直接拼接SQL的写法：文本值未包裹引号，输入内容包含空格、特殊字符时会直接触发语法错误，同时存在SQL注入风险
• 占位符写法：sqlite3的参数占位符为?而非s%，且单个参数需要以带结尾逗号的元组形式传入，否则会被识别为普通值而非参数序列，触发参数数量不匹配错误

正确实现代码 #

# （强烈推荐）先校验字段名合法性，避免SQL注入风险
# 把allowed_fields替换为你表中实际允许修改的字段名列表
allowed_fields = ["category1", "category2", "其他允许更新的字段名"]
if category not in allowed_fields:
    raise ValueError("待更新字段不合法")

# 拼接SQL语句，值部分使用?占位符
update_sql = f"UPDATE Athens_Label_Table SET {category} = ?"
# 参数必须传入元组，单个值结尾加逗号确保是元组类型
cursor.execute(update_sql, (self.create_entry.get(),))
# 提交事务，否则修改不会持久化到数据库
# 把db_conn替换为你自己的数据库连接对象名
db_conn.commit()

核心注意事项 #

• 字段名无法通过参数占位符传递，必须在SQL语句中直接写入，所以一定要先校验category的取值范围，禁止用户直接传入未校验的字段名
• 传入参数时如果只有一个值，必须加末尾逗号，(x,)才是单元素元组，(x)等价于变量x本身
• 所有写操作（INSERT/UPDATE/DELETE）完成后都需要调用连接对象的commit()方法，否则修改会在连接关闭后丢失

内容的提问来源于stack exchange，提问作者M0RIl