如何从用户查询字符串设置SELECT LIMIT？SQLite3 LIMIT绑定URL参数报错解决

这个问题我之前也碰到过，其实核心是SQL参数绑定的问题，咱们一步步来解决：

首先明确：完全可以将查询字符串的值作为LIMIT的参数，但绝对不能直接把变量拼进SQL语句里——这就是你报错sqlite3.OperationalError: no such column: limit_page的原因：当你直接写LIMIT limit_page时，SQLite会把limit_page当成一个列名，而不是你传入的变量值，自然找不到这个列。

正确的实现步骤 #

1. 安全获取并处理查询参数 #

从Flask的request.args中获取per_page值时，要做好默认值设置和类型转换（因为查询字符串都是字符串类型，而LIMIT需要整数）：

per_page = request.args.get('per_page', default=10, type=int)

• default=10：如果用户没传per_page参数，默认返回10条数据
• type=int：自动将参数转为整数，若用户传入非数字值（比如per_page=abc），会直接使用默认值

2. 使用参数化查询传递LIMIT参数 #

SQLite支持用占位符?来绑定参数，包括LIMIT子句。绝对不要用字符串拼接SQL，否则会有严重的SQL注入风险！

@app.route('/cities')
def get_cities():
    db = get_db()
    # 使用参数化查询，将per_page作为参数传入
    cursor = db.execute('SELECT * FROM cities LIMIT ?', (per_page,))
    cities = cursor.fetchall()
    return jsonify(cities)

注意：参数必须以元组形式传入，即使只有一个参数，也要加逗号写成(per_page,)，不然会被当成单个值而非元组，导致报错。

3. 可选：限制最大返回条数 #

为了避免用户传入过大的per_page值（比如per_page=10000）导致数据库压力过大，可以限制最大值：

per_page = min(request.args.get('per_page', default=10, type=int), 50)
# 这样无论用户传多大的数，最多返回50条

完整代码示例（结合你提供的片段） #

from flask import ( Flask, g, redirect, render_template, request, url_for, jsonify, )
import sqlite3, itertools

app = Flask(__name__)
DATABASE = 'database.db'

def get_db():
    db = getattr(g, '_database', None)
    if db is None:
        db = g._database = sqlite3.connect(DATABASE)
    return db

@app.teardown_appcontext
def close_connection(exception):
    db = getattr(g, '_database', None)
    if db is not None:
        db.close()

@app.route('/cities')
def get_cities():
    # 获取并处理per_page参数
    per_page = request.args.get('per_page', default=10, type=int)
    # 限制最大条数，避免数据库压力过大
    per_page = min(per_page, 50)
    
    db = get_db()
    # 参数化查询，安全传递LIMIT参数
    cursor = db.execute('SELECT * FROM cities LIMIT ?', (per_page,))
    cities = cursor.fetchall()
    
    # 转换为字典格式返回（可选，让JSON响应更易读）
    city_list = []
    for city in cities:
        # 假设你的cities表有id、name、country字段，根据实际表结构调整
        city_dict = {
            'id': city[0],
            'name': city[1],
            'country': city[2]
        }
        city_list.append(city_dict)
    
    return jsonify(city_list)

if __name__ == '__main__':
    app.run(debug=True)

为什么不能直接拼字符串？ #

举个危险的例子，如果你用字符串拼接SQL：

# 高危！存在SQL注入风险
cursor = db.execute(f'SELECT * FROM cities LIMIT {per_page}')

如果用户恶意传入per_page=10; DROP TABLE cities;，最终执行的SQL会变成：
SELECT * FROM cities LIMIT 10; DROP TABLE cities;
这会直接删除你的cities表。而参数化查询则完全避免了这个问题，因为SQLite会把参数当作纯值处理，不会解析为SQL语句的一部分。

内容的提问来源于stack exchange，提问作者derriadiergummi