如何修复MySQL编程错误1054：WHERE子句未知列问题

首先，你的核心问题是字符串拼接SQL语句导致的语法错误和SQL注入风险，同时对cursor.execute()的返回值理解有误。让我们一步步解决：

错误原因分析 #

你原代码里用"%(username,password)"直接拼接SQL，当用户输入oziboran123作为用户名时，生成的SQL是：

SELECT * FROM users WHERE username = oziboran123 AND password = xxx

MySQL会把oziboran123当成列名而不是字符串值，所以抛出Unknown column 'oziboran123'的错误。

另外你修改后的SQL语法完全错误：SELECT语句不需要VALUES子句，而且MySQL Connector用%s作为参数占位符（不是?，那是SQLite等其他数据库的写法）。

还有一个误区：cursor.execute()返回的是None，不能用它的返回值判断查询是否有结果，需要用cursor.fetchone()或者cursor.rowcount来检查是否匹配到用户。

修复后的完整代码 #

import mysql.connector
from mysql.connector import Error

def loginsystem():
    db = None
    cursor = None
    try:
        # 建立数据库连接
        db = mysql.connector.connect(
            host="127.0.0.1",
            user="root",
            passwd="",
            db="dbpython"
        )
        if db.is_connected():
            cursor = db.cursor()
            while True:
                username = input("Username : ")
                password = input("Password : ")
                
                # 使用参数化查询，避免SQL注入和语法错误
                query = "SELECT * FROM users WHERE username = %s AND password = %s"
                cursor.execute(query, (username, password))
                
                # 检查是否查询到匹配的用户
                user = cursor.fetchone()
                if user:
                    print("Logged İn")
                    # 登录成功可以退出循环
                    break
                else:
                    print("Failure")
    except Error as e:
        print(f"数据库操作错误: {e}")
    finally:
        # 确保关闭游标和连接，避免资源泄漏
        if cursor:
            cursor.close()
        if db and db.is_connected():
            db.close()

loginsystem()

关键优化点 #

• 参数化查询：用cursor.execute(query, (params))的方式传递参数，MySQL会自动处理字符串的引号，彻底避免语法错误和致命的SQL注入攻击。
• 错误处理：添加try-except捕获数据库操作可能出现的异常（比如连接失败、查询错误），让程序更健壮。
• 资源释放：在finally块中强制关闭游标和数据库连接，防止长期占用数据库资源。
• 循环逻辑优化：用while True替代字符串判断的循环条件，登录成功后break退出循环，更符合Python的简洁风格。
• 结果判断：用cursor.fetchone()获取查询结果，如果有值说明匹配到用户，否则判定登录失败，逻辑更准确。

额外安全建议 #

1. 永远不要明文存储密码：当前代码直接存储和比较明文密码，极易泄露。建议用bcrypt或passlib库对密码进行哈希存储，登录时哈希输入的密码再和数据库中的哈希值比较。
2. 限制登录尝试次数：添加失败次数计数器，连续失败3-5次后锁定账号或暂停登录，防止暴力破解。
3. 分离数据库凭据：不要把数据库密码硬编码在代码里，用环境变量或单独的配置文件管理，降低泄露风险。

内容的提问来源于stack exchange，提问作者H4X