Python中实现SQL动态列名查询触发sqlite3语法错误的解决

原代码触发sqlite3.OperationalError: near "1": syntax error的核心原因：

• 直接把未做语法包裹的动态列名拼进SQL字符串，SQLite解析时会将列名中出现的数字片段拆成独立语法单元，碰到不符合规则的位置就抛出语法错。举个例子，如果reward_number的值为reward_1，拼完的SQL是SELECT (reward_1) FROM rewards...，解析到下划线后的1时就会触发near "1"的报错。
• 对列名这类SQL结构组成部分没有做合法性校验，既容易触发语法问题，也存在SQL注入风险。
• 原代码还有个隐藏bug：cursor.fetchone是游标对象的方法，必须加括号调用才能拿到查询结果，原写法cursor.fetchone[0]是直接对方法对象做索引取值，根本拿不到查询返回的记录。

• 动态列名不能用SQL占位符传递：?占位符仅支持绑定字段的实际值，无法传递列名、表名这类SQL语法结构内容，强行用占位符传列名，数据库会把值当成普通字符串处理，达不到查询目标列的效果。
• 必须加白名单校验：因为列名是直接拼进SQL语法结构的内容，要提前把rewards表中所有合法的奖励状态列名存入白名单，只有校验通过的列名才能拼入SQL，从根源避免注入和语法错误。
• 拼入SQL的合法列名要用双引号包裹：SQLite中双引号是标识符的标准包裹符号，能避免列名带特殊字符、数字开头时被错误解析。
• 筛选条件的userId值依然用?占位符绑定，不要和列名一起硬拼到SQL字符串里。

# 定义合法列名白名单，替换为你表中实际存在的奖励状态列名
valid_reward_cols = {"reward1", "reward2", "reward3", "reward4"}
# 校验动态传入的列名合法性，不通过就直接抛错
if reward_number not in valid_reward_cols:
    raise ValueError("非法的奖励状态列名")

# 拼接SQL：校验通过的列名用双引号包裹，userId值走占位符传参
query_sql = f'SELECT "{reward_number}" FROM rewards WHERE userId = ?'
cursor.execute(query_sql, (user_id[0],))
# 修正fetchone的调用方式：加括号执行方法拿到查询记录，再取第一个字段值
state = cursor.fetchone()[0]

内容的提问来源于stack exchange，提问作者Anna