如何将R语言中的字符串变量正确传入SQL查询中使用

问题根因 #

• 原有paste拼接语法错误：SQL的IN子句要求参数放在括号内，你额外在food_type外层多加了单引号，同时SQL语句文本没有用引号包裹，生成的SQL语法完全不合法，因此返回空结果。
• 直接向translate_sql传入已带单引号的拼接字符串时，函数会将整段内容识别为单个字符串值，自动转义内部的单引号，因此产生大量多余的单引号，不符合IN子句的语法要求。

可用解决方法 #

方法1：直接修正拼接逻辑 #

你现有的food_type已经是带单引号的逗号分隔格式，只要补全IN的括号、修正拼接语法即可：

res <- paste0("SELECT * FROM abc1 WHERE food IN (", food_type, ") AND price >= 100;")

生成的SQL符合语法要求，可以直接执行。

方法2：使用更安全的参数化拼接（推荐） #

为了避免SQL注入风险，建议先把字符串拆分为原始向量，再用专门的SQL拼接工具处理：

1. 先定义原始食品类型向量：

food_vec <- c("noodles", "pasta", "burger", "pizza", "cake")

2. 用glue_sql自动处理转义和拼接：

library(glue)
# your_db_connection替换为你实际的数据库连接对象
res <- glue_sql("SELECT * FROM abc1 WHERE food IN ({food_vec*}) AND price >= 100", .con = your_db_connection)

3. 如果使用dbplyr的translate_sql，直接传入向量即可：

library(dbplyr)
in_clause <- translate_sql(!!food_vec)
res <- paste0("SELECT * FROM abc1 WHERE food IN ", in_clause, " AND price >= 100;")

内容的提问来源于stack exchange，提问作者hereforadoubt