SQLAlchemy原生查询不使用ORM时，如何用参数指定表名？

你遇到的问题其实是SQLAlchemy参数化查询的常见误区：参数占位符是用来处理查询中的值（比如WHERE id = :val里的val），而不是表名、列名这类SQL标识符，所以它会把你传入的表名当成字符串值，自动加上单引号，导致生成的SQL语法错误。

下面是两种安全且规范的解决方式，都能避免表名被错误加引号：

方法一：使用quoted_name构造安全的标识符 #

quoted_name是SQLAlchemy专门用来处理数据库标识符（表名、列名）的工具，它会根据你使用的数据库方言自动处理转义，同时避免SQL注入风险：

from sqlalchemy import create_engine, text
from sqlalchemy.sql import quoted_name

# 初始化引擎
engine = create_engine("your_database_connection_url")

table_name = "foo"
# 构造带正确转义的表名标识符，第二个参数True表示允许根据数据库规则加引号（比如MySQL用反引号，PostgreSQL用双引号）
safe_table = quoted_name(table_name, quote=True)

# 构造SQL语句并执行
stmt = text(f"SELECT * FROM {safe_table}")
result = engine.execute(stmt)

方法二：用SQLAlchemy的表对象构造查询 #

如果你想更贴合SQLAlchemy的风格，也可以直接创建表对象来构造查询，这种方式完全不需要手动拼接SQL字符串：

from sqlalchemy import create_engine, table, select

engine = create_engine("your_database_connection_url")

# 创建表对象（不需要定义列，因为我们要查询所有列）
target_table = table("foo")

# 构造查询语句并执行
stmt = select(target_table)
result = engine.execute(stmt)

关键提醒 #

绝对不要直接用Python的字符串格式化（比如f"SELECT * FROM {table}"）拼接表名，尤其是当表名来自用户输入时，这会导致严重的SQL注入漏洞。上面两种方法都内置了安全转义逻辑，能有效避免这类问题。

内容的提问来源于stack exchange，提问作者moto