Python操作SQLite如何根据用户选择动态生成查询语句并解决执行报错

报错原因 #

你代码中的query变量被赋值为SQL字符串+参数列表组成的元组，而sqlite3.Cursor.execute()要求第一个入参必须是单独的SQL字符串，第二个参数才是查询参数列表，因此触发operation parameter must be str（操作参数必须为字符串类型）的报错。
此外你原代码的WHERE条件拼接逻辑也存在问题：仅拼接了参数占位符，没有拼接过滤字段名和判断逻辑，即使解决类型报错也无法正常执行查询。

完整实现代码 #

你需要分别处理「动态选择查询字段」和「动态拼接过滤条件」两部分逻辑，同时对字段名校验避免SQL注入风险，参考实现如下：

import sqlite3

# 配置项：数据库地址、合法字段白名单
DATABASE_PATH = "你的数据库文件路径.db"
ALLOWED_FIELDS = ["Roll number", "Name", "Marks"]

def dynamic_query(select_fields: list, filter_conditions: dict):
    # 1. 校验查询字段合法性
    for field in select_fields:
        if field not in ALLOWED_FIELDS:
            raise ValueError(f"非法查询字段: {field}")
    # 2. 拼接SELECT子句，带空格的字段用方括号包裹适配SQLite语法
    select_clause = ", ".join([f"[{f}]" for f in select_fields])
    # 3. 拼接WHERE子句，仅当有过滤条件时生效
    where_clause = ""
    params = []
    if filter_conditions:
        # 校验过滤字段合法性
        for field in filter_conditions.keys():
            if field not in ALLOWED_FIELDS:
                raise ValueError(f"非法过滤字段: {field}")
        condition_str_list = [f"[{k}] = ?" for k in filter_conditions.keys()]
        where_clause = "WHERE " + " AND ".join(condition_str_list)
        params = list(filter_conditions.values())
    # 4. 拼接完整SQL
    sql = f"SELECT {select_clause} FROM StudentDB {where_clause}"
    # 5. 执行查询
    con = sqlite3.connect(DATABASE_PATH)
    cur = con.cursor()
    cur.execute(sql, params)
    all_data = cur.fetchall()
    con.close()
    return all_data

# 调用示例：查询Roll number=12的学生的姓名和分数
if __name__ == "__main__":
    # 用户选择的查询字段，可动态修改
    user_selected_fields = ["Name", "Marks"]
    # 用户设置的过滤条件，可动态修改，为空则查询全表
    user_filter = {"Roll number": 12}
    result = dynamic_query(user_selected_fields, user_filter)
    print(result)

调用说明 #

• 要查询全部字段直接把user_selected_fields设为["Roll number", "Name", "Marks"]即可
• 不需要过滤条件时把user_filter设为空字典{}，会自动查询全表符合字段要求的内容
• 字段名严格和白名单保持一致，避免大小写/空格差异导致的校验报错

内容的提问来源于stack exchange，提问作者Sriram