PyMySQL执行UPDATE语句传入列名变量时报1064语法错误

pymysql 的 %s 占位符参数化机制，本质是将传入参数作为SQL语句中的普通值字面量做转义处理，仅支持传递查询用到的数值、字符串这类实际值，无法替换列名、表名、SQL关键字这类语法结构组成部分。

从报错信息near '6=1 WHERE user_id=1'可以判断，你传入的gcn变量值为6，pymysql 执行时会在占位符位置替换为带引号的字符串，最终实际运行的SQL等价于：

UPDATE `xxx` SET '6'=1 WHERE user_id=1

MariaDB 会把单引号包裹的内容识别为字符串常量，而非目标表的列名，因此直接触发1064语法错误。

列名属于SQL语法标识符，必须经过严格安全校验后，拼接进入SQL语句本身；WHERE条件涉及的实际值，仍需保留参数化占位符的写法，兼顾灵活性和安全性：

• 第一步：设置可更新列名的白名单，对传入的列名做合法性校验，从根源规避SQL注入风险，绝对不能直接将未校验的用户可控字符串拼接到SQL中
• 第二步：将校验通过的合法列名，用反引号包裹后拼接进SQL的SET子句位置，避免列名与数据库保留字冲突
• 第三步：WHERE子句中的user_id这类值参数，仍然使用%s占位符传入，保持参数化查询的安全特性

参考实现代码：

# 定义允许更新的列名白名单
ALLOWED_COLUMNS = {"is_vip", "is_active", "login_status"}
# 校验传入列名合法性
if gcn not in ALLOWED_COLUMNS:
    raise ValueError(f"不允许更新的列名：{gcn}")
# 拼接校验通过的列名，值参数仍走参数化占位符
sql = f"UPDATE `xxx` SET `{gcn}` = 1 WHERE user_id = %s"
sonuc = pen.execute(sql, (userid,))
db.commit()

安全提醒：跳过列名白名单校验、直接拼接任意字符串到SQL语句的写法，会存在极高的SQL注入安全风险，属于必须规避的错误实现方式。

内容的提问来源于stack exchange，提问作者CodErdal