如何在Cassandra的.execute方法参数中传递无引号字符串？

嘿，我懂你碰到的这个坑了——Cassandra的参数化查询（就是你用%s占位符的方式）是专门用来处理数据值的，比如你传的7这种条件值，而不是用来替换SQL里的关键字或者语法结构的。这就是为啥你传val = 'FROM'的时候，驱动会自动给它加上引号，最后生成的SQL变成了SELECT * 'FROM' employee.emp_details...，这肯定会触发语法错误呀！

为啥不能这么用？ #

参数化查询的核心目的是防止SQL注入，所以驱动会自动对所有传入的参数做转义、加引号处理，确保它们被当作普通数据值，而不是SQL代码的一部分。但像FROM这种SQL关键字属于语法结构，不能被当成值来处理，自然不能用参数化占位符来替换。

正确的做法 #

如果你需要动态替换这类SQL结构部分（比如关键字、表名），可以用Python的字符串格式化来拼接，但一定要确保你拼接的内容是完全可控的，绝对不能是用户输入或者不可信的外部数据，不然会有SQL注入的风险。

比如针对你的场景，可以这么改：

from cassandra.cluster import Cluster
HOST = ['10.107.2.123']
PORT = '9042'
cluster = Cluster(HOST, PORT)
session = cluster.connect()

# 用字符串格式化替换关键字部分
val = 'FROM'
# 这里用f-string格式化SQL结构，然后用参数化传递值
query = f'''SELECT * {val} employee.emp_details WHERE id = %s'''
rows = session.execute(query, (7,))

或者用str.format()的方式：

query = '''SELECT * {} employee.emp_details WHERE id = %s'''.format(val)
rows = session.execute(query, (7,))

重要提醒 #

如果val这个值是来自用户输入或者其他不可信的来源，绝对不能直接这么拼接！这种情况下你应该预先定义好允许的关键字列表，先校验输入的内容是否在列表里，再进行替换，比如：

allowed_keywords = ['FROM']
val = some_user_input
if val not in allowed_keywords:
    raise ValueError("Invalid keyword!")
# 之后再拼接SQL

这样既能实现动态替换的需求，又能避免安全风险。

内容的提问来源于stack exchange，提问作者Sachhya