Python+SQL新手求助：如何在INSERT语句中传入数组值？

嘿，作为刚接触Python和SQL的新手，这种想把数组塞进INSERT语句的困惑太正常啦！我来给你捋捋怎么安全又方便地实现，而且满足你想把所有变量整合的需求～

首先必须敲黑板：绝对不要自己手动拼接SQL字符串！这种做法不仅容易因为特殊字符（比如单引号）报错，还会带来致命的SQL注入风险，咱可不能踩这个坑。正确的姿势是用Python DB-API提供的参数化查询，既安全又省心。

下面分两种常见场景给你举例：

场景1：数组作为单个字段的值存储 #

比如你想把一个爱好列表存在数据库的某个字段里（比如存成JSON格式），可以这么做：

import sqlite3
import json

# 你的变量：普通变量+数组
user_name = "Alice"
user_age = 25
user_hobbies = ["reading", "hiking", "coding"]

# 连接数据库（这里用SQLite举例，其他数据库比如PostgreSQL用法类似，只是占位符可能不同）
conn = sqlite3.connect('my_database.db')
cursor = conn.cursor()

# 把数组转成JSON字符串（适配大多数数据库的字段类型）
hobbies_json = json.dumps(user_hobbies)

# 构造参数化的INSERT语句，用?作为占位符（PostgreSQL用%s，MySQL也常用%s）
insert_sql = """
INSERT INTO users (name, age, hobbies)
VALUES (?, ?, ?)
"""

# 把所有变量打包成一个元组，传给execute方法
cursor.execute(insert_sql, (user_name, user_age, hobbies_json))

# 提交并关闭连接
conn.commit()
conn.close()

场景2：数组的每个元素作为单独行插入 #

如果你的数组里每个元素都要和其他固定变量一起生成一行数据（比如批量插入用户的多个收藏），可以用executemany批量执行：

import sqlite3

# 固定变量+要批量插入的数组
user_name = "Bob"
user_age = 30
favorite_foods = ["pizza", "sushi", "burger"]

conn = sqlite3.connect('my_database.db')
cursor = conn.cursor()

# 构造INSERT语句
insert_sql = """
INSERT INTO user_favorites (user_name, user_age, food)
VALUES (?, ?, ?)
"""

# 把数组元素和固定变量组合成元组列表，相当于整合所有变量
values_to_insert = [(user_name, user_age, food) for food in favorite_foods]

# 批量执行插入
cursor.executemany(insert_sql, values_to_insert)

conn.commit()
conn.close()

为啥不能自己拼字符串？给你看个反例 #

比如你尝试手动拼接：

# 危险！绝对不要这么写！
bad_sql = f"INSERT INTO users VALUES ('{user_name}', {user_age}, '{user_hobbies}')"

如果user_hobbies里有个元素是"I'm a fan of SQL"，单引号会直接把SQL语句搞乱，导致语法错误；要是遇到恶意输入比如"'); DROP TABLE users; --"，你的数据库表直接就没了，这就是SQL注入的恐怖之处。

所以虽然你想把所有变量整合成一个字符串，但参数化查询的方式其实是更安全的“整合”——把变量和SQL逻辑分开，数据库会自动处理变量的转义和拼接，完全不用你操心。

内容的提问来源于stack exchange，提问作者JONAS VINCENT Samson