如何在C语言字符串中设置变量占位符？（附SQLite示例）

你的问题出在对printf的用法理解上——printf是把格式化后的内容输出到控制台（标准输出），它的返回值是打印的字符数，不是拼接好的字符串，所以直接把printf(sql, 999)传给sqlite3_exec肯定不会生效。下面给你两种可行的解决方案：

方法一：使用snprintf拼接SQL字符串 #

如果你只是想快速生成包含变量的SQL语句，可以用snprintf（比sprintf更安全，能避免缓冲区溢出）先把变量填充到字符串缓冲区里，再把缓冲区传给sqlite3_exec。

示例代码：

#include <stdio.h>
#include <sqlite3.h>

int main() {
    sqlite3 *db;
    char *errmsg;
    int rc = sqlite3_open("test.db", &db);
    if (rc != SQLITE_OK) {
        printf("无法打开数据库: %s\n", sqlite3_errmsg(db));
        return 1;
    }

    int id = 1234; // 你的变量
    char sql[256]; // 定义足够大的缓冲区，根据SQL实际长度调整

    // 用snprintf把变量填充到SQL模板中
    snprintf(sql, sizeof(sql),
             "INSERT INTO REV_ENTITY (ID, NAME, AGE, ADDRESS, SALARY) VALUES (%d, 'REV', 25, 'Rich-Mond ', 65000.00 );",
             id);

    // 执行SQL
    rc = sqlite3_exec(db, sql, NULL, 0, &errmsg);
    if (rc != SQLITE_OK) {
        printf("执行SQL失败: %s\n", errmsg);
        sqlite3_free(errmsg);
    } else {
        printf("插入成功\n");
    }

    sqlite3_close(db);
    return 0;
}

注意：这个方法适合固定场景，但如果变量来自用户输入，存在SQL注入风险，比如用户输入1234; DROP TABLE REV_ENTITY;，就会破坏你的数据库。

方法二：使用SQLite参数绑定（推荐） #

SQLite提供了参数绑定功能，这是更安全、更规范的做法，能彻底避免SQL注入，还能处理特殊字符（比如字符串里的单引号）。

核心思路是用?作为占位符，然后通过sqlite3_prepare_v2准备语句，再用sqlite3_bind_*系列函数绑定变量，最后执行语句。

示例代码：

#include <stdio.h>
#include <sqlite3.h>

int main() {
    sqlite3 *db;
    int rc = sqlite3_open("test.db", &db);
    if (rc != SQLITE_OK) {
        printf("无法打开数据库: %s\n", sqlite3_errmsg(db));
        return 1;
    }

    int id = 1234; // 你的变量
    const char *sql_template = 
        "INSERT INTO REV_ENTITY (ID, NAME, AGE, ADDRESS, SALARY) VALUES (?, 'REV', 25, 'Rich-Mond ', 65000.00 );";
    sqlite3_stmt *stmt;

    // 准备SQL语句
    rc = sqlite3_prepare_v2(db, sql_template, -1, &stmt, NULL);
    if (rc != SQLITE_OK) {
        printf("准备语句失败: %s\n", sqlite3_errmsg(db));
        sqlite3_close(db);
        return 1;
    }

    // 绑定变量到第一个占位符（?的索引从1开始）
    sqlite3_bind_int(stmt, 1, id);

    // 执行插入
    rc = sqlite3_step(stmt);
    if (rc == SQLITE_DONE) {
        printf("插入成功\n");
    } else {
        printf("执行插入失败: %s\n", sqlite3_errmsg(db));
    }

    // 释放语句对象
    sqlite3_finalize(stmt);
    sqlite3_close(db);
    return 0;
}

这个方法的优势：

• 完全避免SQL注入，哪怕变量是用户输入的恶意内容也没问题
• 自动处理字符串中的特殊字符（比如单引号不需要手动转义）
• 如果需要重复执行同一语句（比如批量插入），性能更好，因为SQLite只需要编译一次语句

内容的提问来源于stack exchange，提问作者Program-Me-Rev