Python-MySQLi LIMIT子句参数化查询报错：应使用%d还是该用法不被允许？

先拆解下你遇到的错误：You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''5'' at line 1，核心问题是参数被套了两层单引号（''5''）——LIMIT后面要求的是整数数值，带引号的字符串会被数据库判定为非法语法。

关于你问的%d用法：

• 如果是用字符串格式化（比如PHP的sprintf、Python的%格式化）把参数拼进SQL语句，用%d确实能将数值类型的参数以纯整数形式插入，不会带引号，能暂时解决当前的语法错误。
• 但这种字符串拼接的方式非常不推荐，尤其是当参数来自外部输入（哪怕是某个字段，如果这个字段内容是用户可控的），很容易引发SQL注入攻击，这是严重的安全隐患。

正确的最佳实践：使用预处理语句（绑定参数） #

这是数据库操作的标准规范，既从根源上避免语法错误，又彻底杜绝SQL注入风险。不同编程语言的实现略有不同，给你举两个常见场景的例子：

PHP（PDO实现）

// 假设$limitVal是从目标字段获取到的参数
$stmt = $pdo->prepare("SELECT * FROM your_table LIMIT :limit_num");
// 明确指定参数类型为整数，确保数据库正确解析
$stmt->bindParam(':limit_num', $limitVal, PDO::PARAM_INT);
$stmt->execute();

Python（MySQLdb实现）

import MySQLdb

db = MySQLdb.connect(host="localhost", user="your_user", passwd="your_pwd", db="your_db")
cursor = db.cursor()
limit_val = 5  # 从字段获取的参数值
# 用%s作为占位符，数据库会自动处理参数类型
cursor.execute("SELECT * FROM your_table LIMIT %s", (limit_val,))
results = cursor.fetchall()

预处理语句会让数据库自动处理参数的类型转换和安全转义，不需要你手动拼接字符串，既省心又安全。

内容的提问来源于stack exchange，提问作者Kickass