psycopg2能否用字典+变量/双字典构建INSERT绑定查询？

当然可以！完全不用把那个预计算变量硬塞进原字典里，有好几种更优雅的方式来组合字典和额外变量，或者合并两个字典来构建你的INSERT查询。下面给你具体的实现思路和代码示例（假设你用的是Python，这是这类场景最常见的语言）：

方法1：字典解包 + 额外变量（推荐参数化写法） #

如果要避免SQL注入风险，强烈推荐用参数化查询，这时候可以通过字典解包快速把原字典和额外变量组合成参数集：

# 原数据字典
user_data = {"name": "Alice", "age": 30}
# 预计算的额外变量
precomputed_score = 95

# 定义参数化的INSERT语句（用%(key)s占位符适配字典参数）
insert_query = """
INSERT INTO users (name, age, score)
VALUES (%(name)s, %(age)s, %(score)s)
"""

# 用字典解包合并原字典和额外变量，生成完整参数
query_params = {**user_data, "score": precomputed_score}

# 执行查询（以psycopg2为例，其他数据库驱动逻辑类似）
cursor.execute(insert_query, query_params)

你甚至可以直接在execute里直接写合并逻辑，不用单独存query_params：

cursor.execute(insert_query, {**user_data, "score": precomputed_score})

方法2：合并两个字典 #

如果你的预计算变量本来就存放在另一个字典里，直接合并两个字典即可：

user_data = {"name": "Alice", "age": 30}
extra_params = {"score": 95}

# Python 3.5+：用解包语法合并
combined_params = {**user_data, **extra_params}

# Python 3.9+：用字典合并运算符|，更简洁
# combined_params = user_data | extra_params

insert_query = """
INSERT INTO users (name, age, score)
VALUES (%(name)s, %(age)s, %(score)s)
"""
cursor.execute(insert_query, combined_params)

方法3：直接混合字典键和变量（不推荐，有SQL注入风险） #

如果只是快速测试（不考虑安全性），可以直接在字符串插值中同时引用字典的键和单独变量：

user_data = {"name": "Alice", "age": 30}
precomputed_score = 95

# 注意：这种直接拼接字符串的方式存在SQL注入风险，生产环境绝对不要用！
insert_query = f"""
INSERT INTO users (name, age, score)
VALUES ('{user_data["name"]}', {user_data["age"]}, {precomputed_score})
"""

关键提醒 #

无论用哪种方法，生产环境一定要用参数化查询，不要直接把变量拼进SQL字符串里，否则会面临严重的SQL注入漏洞。上面的方法1和方法2都是安全的参数化写法，既能灵活组合数据，又能保证查询安全。

内容的提问来源于stack exchange，提问作者Vova Rozhkov