Python2.7中SQLite3如何替换?为变量值并解决语法错误？

我来帮你搞定这个sqlite3的语法错误～

首先得搞清楚为啥会报错：sqlite3的?占位符只能用来替换SQL语句里的值（比如WHERE条件里的url参数），但不能用来替换表名、列名这类数据库对象的名称。你之前应该是尝试用?来替换表名了，这就会导致语法错误——因为sqlite会把表名当成普通字符串值来处理，而不是识别成表标识符。

正确的解决方案 #

要分开处理：表名用字符串格式化（但必须先做安全校验！），而值还是用参数化查询（?占位符），这样既安全又能解决问题。

修改后的完整代码如下：

import sqlite3
from contextlib import closing

dbname = "ng.db"
with closing(sqlite3.connect(dbname)) as conn:
    c = conn.cursor()
    c.execute("CREATE TABLE IF NOT EXISTS OTHER_URL (url TEXT)")
    conn.commit()

table = "OTHER_URL"
url = "http://a.com/a.jpg"

# 第一步：安全校验表名！绝对不能跳过这步，防止SQL注入
allowed_tables = ["OTHER_URL"]  # 只允许查询这些表
if table not in allowed_tables:
    raise ValueError(f"不允许访问的表名：{table}")

# 第二步：用字符串格式化处理表名，参数化处理url值
with closing(sqlite3.connect(dbname)) as conn:
    c = conn.cursor()
    # 用双引号包裹表名，符合sqlite的标识符规则
    query = f'SELECT * FROM "{table}" WHERE url = ?'
    c.execute(query, (url,))
    # 获取查询结果
    results = c.fetchall()
    print("查询结果：", results)

关键说明 #

1. 表名的安全处理：直接拼接表名有SQL注入风险，所以一定要先校验表名是否在你允许的列表里，避免恶意输入破坏数据库。用双引号包裹表名是sqlite的标准写法，能处理表名里有特殊字符的情况（当然你的表名没问题，但养成好习惯）。
2. 值的参数化处理：url这类值还是用?占位符，让sqlite3自动处理字符串转义，既避免语法错误，又防止SQL注入。

为啥原来的写法不行？ #

如果你之前写了类似这样的代码：

c.execute("SELECT * FROM ? WHERE url = ?", (table, url))

sqlite会把它解析成：

SELECT * FROM 'OTHER_URL' WHERE url = 'http://a.com/a.jpg'

这里的'OTHER_URL'是字符串字面量，不是表名，sqlite自然会报语法错误啦。

内容的提问来源于stack exchange，提问作者ssa2