Python3实现MySQL IN子句传入任意数量值的参数化查询方法

核心实现逻辑 #

• 先获取待传入IN子句的动态参数列表，转换为元组适配MySQL数据库驱动的参数传入要求
• 根据参数的长度，动态生成对应数量的%s占位符，用逗号拼接后替换到SQL的IN子句位置
• 执行查询时传入完整的参数元组，完全符合参数化查询规范，可避免SQL注入风险

修正后可直接运行的完整代码 #

你之前的实现逻辑正确，仅需补充execute方法的参数传入即可：

import pymysql # 如使用其他MySQL驱动，整体逻辑完全通用

# 替换为自身数据库连接配置
dbconn = pymysql.connect(
    host="数据库地址",
    user="用户名",
    password="密码",
    database="数据库名",
    charset="utf8mb4"
)

try:
    # 第一步：获取动态的uniqueid参数列表
    valuecursor = dbconn.cursor(buffered=True)
    valuequery = "select uniqueid from sometable"
    valuecursor.execute(valuequery)
    valuelist = [i[0] for i in valuecursor.fetchall()]
    valuetuple = tuple(valuelist)
    valuecursor.close()

    # 特殊处理：参数为空时IN()为非法SQL，可根据业务需求自定义处理逻辑
    if not valuetuple:
        query_result = []
    else:
        # 第二步：动态生成对应数量的占位符
        placeholders = ','.join(['%s'] * len(valuetuple))
        # 拼接完整SQL模板
        myquery = f"select column1 from mytable where uniqueid in ({placeholders})"
        # 第三步：执行参数化查询，传入参数元组
        mycursor = dbconn.cursor(buffered=True, dictionary=True)
        mycursor.execute(myquery, valuetuple)
        query_result = mycursor.fetchall()
        mycursor.close()
    
    # 后续处理查询结果
    print(query_result)
finally:
    dbconn.close()

通用适配说明 #

• 不同数据库驱动的占位符格式略有差异，比如SQLite用?、PostgreSQL可使用$N格式，仅需调整占位符字符串即可，整体逻辑不变
• 禁止直接将参数值拼接进SQL字符串，必须使用占位符+参数传入的方式，避免SQL注入风险

内容的提问来源于stack exchange，提问作者Yogesh Devi