Python SQL字符串中动态命名参数的替换方法咨询

优先使用 string.Template 原生能力 #

绝大多数场景无需自行造轮子，string.Template 本身就支持无预定义的占位符扫描逻辑，不需要提前知道SQL里具体包含哪些变量：

• 把SQL字符串包装为Template实例
• 调用内置的get_identifiers()方法，自动提取SQL中所有$xxx格式的占位符名
• 直接传入存储的动态参数字典，调用substitute完成替换

实现代码示例：

from string import Template

# 原始带占位符的SQL
sql = '''
select name from table1 where asof between '$varA' and '$varB'
      union
     select name from table2 where asof between '$varC' and '$varD'
 '''

# 初始化模板对象
tpl = Template(sql)
# 自动扫描获取所有占位符，无需提前知晓具体变量名
placeholders = tpl.get_identifiers()
# 扫描结果示例：['varA', 'varB', 'varC', 'varD']

# 维护动态收集的参数字典
dynamic_params = {
    "varA": "2024-01-01",
    "varB": "2024-01-31",
    "varC": "2024-02-01",
    "varD": "2024-02-29"
}

# 执行替换
final_sql = tpl.substitute(dynamic_params)

注意：如果参数字典缺失某个扫描到的占位符，substitute会抛出KeyError，和原有校验逻辑保持一致；如果希望缺省占位符保持原样不报错，可以替换为safe_substitute方法。

自定义正则适配非标准占位符 #

如果后续SQL占位符不再使用默认的$xxx格式（比如改成{{varA}}、#varB这类自定义规则），可以通过正则匹配的方式批量提取占位符、完成替换：

import re

# 自定义占位符匹配规则，示例为匹配$开头的合法变量名
placeholder_re = re.compile(r'\$([a-zA-Z_][a-zA-Z0-9_]*)')
# 批量提取所有不重复的占位符
placeholders = list(set(placeholder_re.findall(sql)))

# 遍历完成替换
final_sql = sql
for ph in placeholders:
    if ph in dynamic_params:
        final_sql = final_sql.replace(f"${ph}", dynamic_params[ph])

注意：自定义正则需要额外处理误匹配场景，比如SQL本身包含字面量$符号（部分数据库的特殊语法）时容易替换错误，优先使用原生Template的扫描逻辑会更稳妥。

安全提醒：这类纯字符串替换的方式仅适配完全可控的内部参数场景，如果替换值包含外部用户输入，必须做对应数据库的字符串转义，避免SQL注入风险。

内容的提问来源于stack exchange，提问作者Ginger_Chacha