Python数据库插入方法触发ValueError: operation参数类型错误问题求解

• 原代码给query变量赋值时，行尾额外带了逗号，导致query不是SQL字符串，而是由字符串和keys组成的元组，直接触发了execute方法“操作参数必须是字符串”的校验报错；这也是之前尝试拆分传参时遇到“多余参数”问题的根源——驱动会把元组拆成多个独立参数传入，最终导致参数数量和预期不符。
• 原SQL硬编码了2个占位符?，和动态生成的字段数量不匹配，即使解决了元组传参的问题，也会触发参数数量不一致的报错。
• 原代码硬编码插入表为songs，完全没有使用函数传入的table参数，不符合通用插入函数的设计预期。
• 直接传params.values()给execute的参数位，在部分Python版本和数据库驱动下会存在对象类型兼容问题。

表名、字段名属于SQL结构定义部分，无法通过预编译占位符传入，需要在可控的场景下拼接进SQL字符串，参数值部分必须用预编译占位符传入避免注入，实现代码如下：

def insert(self, table, params):
    # 拼接合法的字段名列表，要求params的key是可信的内部定义字段
    keys = ', '.join(params.keys())
    # 生成和字段数量完全匹配的预编译占位符
    placeholders = ', '.join(['?'] * len(params))
    # 拼接完整SQL字符串，注意不要加多余逗号导致query变成元组
    query = f"INSERT INTO {table} ({keys}) VALUES ({placeholders});"
    # 将参数值转成列表传入execute，兼容不同驱动的参数要求
    self.cur.execute(query, list(params.values()))
    self.conn.commit()
    return self.cur.lastrowid

• 拼接SQL时严格保证query是纯字符串类型，满足execute方法第一个参数的类型要求，从根源上解决ValueError: operation parameter must be str报错。
• 占位符数量和传入参数字段数完全对齐，不会出现多余或缺失参数的问题。
• 实际使用函数传入的table参数，支持通用插入任意配置表的场景。
• 仅参数值走预编译占位符传参，既满足灵活性，也能避免常规的SQL注入风险。
• 注意：如果table名、params的key是来自外部不可信输入，必须提前做白名单校验，禁止直接拼接进SQL。

内容的提问来源于stack exchange，提问作者David Esquivel