MySQL Python：字母数字PIN码查询VARCHAR字段时出现异常

嗨，这个问题我太熟悉了！咱们先拆解错误根源，再一步步搞定它。

为什么会触发1054错误？ #

你之前的代码直接把输入的PIN拼进SQL语句里：

cursor.execute("SELECT COUNT(1) FROM members WHERE pincode = " + pin_inp + ";")

当输入纯数字PIN时，SQL会变成WHERE pincode = 1234，数据库会把1234当成数值去匹配VARCHAR字段（刚好能隐式转换，所以能正常查询）。但输入字母数字PIN比如7988DB时，SQL变成WHERE pincode = 7988DB——数据库会把7988DB当成列名，而你的表根本没有这个列，自然就报了Unknown column '7988DB'的错误。

而且这种字符串拼接的写法还有个致命问题：SQL注入风险！如果有人恶意输入'; DROP TABLE members; --，你的整个members表可能直接被删，绝对不能这么写。

正确的解决方法：参数化查询 #

用MySQLdb的参数化查询功能，让数据库自动处理字符串的引号和转义，不管是数字还是字母数字PIN都能正确匹配，还能彻底杜绝注入风险。修改代码如下：

pin_inp = raw_input("Enter PIN: ")
# 用%s作为占位符，参数放在元组里传给execute
cursor.execute("SELECT COUNT(1) FROM members WHERE pincode = %s;", (pin_inp,))

这里的%s是MySQLdb的参数占位符（注意不是Python的字符串格式化符号），execute方法会自动把pin_inp的值用单引号包裹，生成正确的SQL语句。比如输入7988DB时，最终执行的SQL是WHERE pincode = '7988DB'，完美匹配你的VARCHAR字段。

额外提醒 #

就算是纯数字的PIN，也建议用参数化查询。比如如果你的PIN是带前导零的0012，直接拼接的话会变成数值12，查询时会错误匹配到12而不是0012，参数化查询就能避免这个问题。

内容的提问来源于stack exchange，提问作者ipanema211