Python多层循环拼接SQL如何先构建参数化语句再统一格式化

方案1：仅延后字符串格式化时机，不改动原有模板逻辑 #

核心思路是提前收集所有需要的参数组合，先不执行格式化，需要生成完整SQL时再统一批量处理：

import itertools

# 1. 预拼接单组参数对应的SQL片段模板
segment_template = line_a + line_b + line_c

# 2. 循环仅收集参数，不做格式化操作
params_list = []
for plat, (gk, gv), (ak, av) in itertools.product(
    PLATFORM_LIST,
    GENDER_MAP.items(),
    AGE_MAP.items()
):
    params_list.append({
        "plat": plat,
        "gk": gk,
        "gv": gv,
        "ak": ak,
        "av": av
    })

# 3. 需要生成完整SQL时再统一执行格式化
query = "".join(segment_template.format(**params) for params in params_list)

用itertools.product可以替代三层嵌套for循环，代码更简洁。

方案2：生产环境推荐：使用数据库原生参数化查询 #

如果你的需求是避免SQL注入、提升执行性能，建议直接用对应数据库驱动支持的参数化能力，完全不用自己做字符串格式化：

1. 先把line_a/line_b/line_c里的占位符改成数据库驱动支持的格式，比如PyMySQL、Psycopg2支持命名占位符%(参数名)s，SQLite用?占位符
2. 收集参数列表后直接调用驱动的批量执行方法即可，格式化逻辑由数据库驱动内部处理，更安全高效

示例（PyMySQL场景）：

import pymysql
import itertools

# 示例：line_a原本的字符串模板需要改成占位符格式
# 调整前：line_a = "SELECT * FROM user WHERE plat='{plat}' AND gender='{gv}' "
# 调整后：line_a = "SELECT * FROM user WHERE plat=%(plat)s AND gender=%(gv)s "
segment_template = line_a + line_b + line_c

# 收集参数列表，和方案1逻辑一致
params_list = []
for plat, (gk, gv), (ak, av) in itertools.product(
    PLATFORM_LIST,
    GENDER_MAP.items(),
    AGE_MAP.items()
):
    params_list.append({
        "plat": plat,
        "gk": gk,
        "gv": gv,
        "ak": ak,
        "av": av
    })

# 执行时由驱动统一处理参数格式化
conn = pymysql.connect(host="你的数据库地址", user="用户名", password="密码", database="库名")
cursor = conn.cursor()
cursor.executemany(segment_template, params_list)
conn.commit()

内容的提问来源于stack exchange，提问作者mpollinger