Python操作MySQL时将列名设为变量的INSERT语句语法错误如何解决

错误原因 #

• SQL逻辑错误：INSERT 语句用于插入全新数据行，不支持追加WHERE条件。你的需求是修改id=2的已有行的指定字段值，需改用UPDATE语句。
• 标识符语法错误：列名Stats 1 Column包含空格，MySQL要求带空格/特殊字符的标识符必须用反引号 ` 包裹，否则会被识别为多个语法单元触发报错。
• 参数格式错误：cursor.execute()的第二个参数要求为元组类型，单元素元组需要在末尾加逗号标记，(float(ppg))会被Python识别为单个浮点值而非元组，同时ppg是列表类型，不能直接转为float，需要先取第一个元素ppg[0]。

修正后代码 #

import mysql.connector

ppg = [22.6]

mydb = mysql.connector.connect(
    host="localhost",
    user="root",
    password="#########",
    database="#########"
)
mycursor = mydb.cursor()

# 用UPDATE语句修改指定行的字段，列名用反引号包裹
command = "UPDATE table1 SET `{t_dot}` = %s WHERE id = 2"
# 构造符合要求的参数元组
data = (float(ppg[0]),)

mycursor.execute(command.format(t_dot='Stats 1 Column'), data)

mydb.commit()
mycursor.close()
mydb.close()

注意事项 #

• 列名作为变量拼接时，必须做好白名单校验，仅允许预设的合法列名传入，避免SQL注入风险。
• 若你的实际需求是插入新行而非修改已有行，可使用如下INSERT语法，去掉WHERE条件即可：

command = "INSERT INTO table1(`{t_dot}`) VALUES(%s)"

内容的提问来源于stack exchange，提问作者E. Artemis