如何修复Python更新PostgreSQL时的字典字段语法错误问题

你的问题核心在于PostgreSQL的参数化查询只支持对值进行占位，不能直接用参数替换字段名（标识符）。你原来的代码把字段名通过%s传递，数据库会把这些字段名当成带引号的字符串，自然就会报语法错误。

下面给你两种解决方案，优先推荐安全的方法：

方法一：用psycopg2的SQL模块安全拼接字段名（推荐） #

psycopg2提供了专门的sql模块来处理动态SQL标识符（字段名、表名），能自动转义特殊字符，彻底避免SQL注入风险。

from psycopg2 import sql

# 你的原始数据字典
data = { 
    'created_by':'obama', 
    'last_updated_by':'nandu', 
    'effective_from':'2019-12-30', 
    'effective_to':'2017-12-30' 
}

# 构造SET子句：每个字段对应 "字段名 = %s" 的格式，用Identifier转义字段名
set_clause = sql.SQL(', ').join(
    sql.SQL("{} = %s").format(sql.Identifier(key)) 
    for key in data.keys()
)

# 拼接完整的UPDATE语句
update_query = sql.SQL("UPDATE table_name SET {} WHERE name = %s").format(set_clause)

# 准备参数：字典的值 + WHERE条件的值
params = list(data.values()) + ['kumar']

# 执行更新
cur.execute(update_query, params)

为什么这个方法安全？ #

sql.Identifier会自动处理字段名中的特殊字符（比如包含空格、引号的字段名），同时防止恶意构造的字段名触发SQL注入攻击，这是生产环境中最稳妥的做法。

方法二：直接拼接字段名（仅适用于完全可信的数据源） #

如果你的字典键是完全可控、不会被恶意篡改的（比如自己定义的固定字段），可以直接拼接字段名，但不推荐在用户输入的场景使用：

data = { 
    'created_by':'obama', 
    'last_updated_by':'nandu', 
    'effective_from':'2019-12-30', 
    'effective_to':'2017-12-30' 
}

# 拼接SET子句：字段名 = %s
set_clause = ', '.join(f"{key} = %s" for key in data.keys())

# 构造完整SQL
update_query = f"UPDATE table_name SET {set_clause} WHERE name = %s"

# 准备参数
params = list(data.values()) + ['kumar']

# 执行
cur.execute(update_query, params)

注意事项 #

这种方法的风险是：如果data的键被恶意注入（比如键是'); DROP TABLE table_name; --），会直接执行危险的SQL语句，所以只适合内部使用、数据源完全可信的场景。

关键知识点回顾 #

• PostgreSQL的参数化占位符%s只能用于值，不能用于字段名、表名这类标识符
• 动态生成标识符时，必须用安全的转义方式（比如psycopg2的sql.Identifier）来避免SQL注入
• 所有的业务值依然要通过参数化传递，不要直接拼接进SQL字符串

内容的提问来源于stack exchange，提问作者karri leela