解包多值存入数据库失败，insert_into_db_tmp函数执行异常求助

我帮你梳理下代码里的核心问题，以及对应的修复方案：

1. SQL语句构建逻辑错误 #

你当前的query定义写法有问题：

query = "INSERT INTO %s (%s) VALUES (%s)",(table, ",".join(col), ",".join(val))

这行代码并没有完成字符串格式化，而是生成了一个包含两个元素的元组：第一个是未填充的SQL模板字符串，第二个是包含表名、列名拼接结果、值拼接结果的子元组。当你把这个元组传给execute()时，数据库会把VALUES部分的拼接结果（比如test.com/test2,path）当成数据库标识符而非字符串值，自然会执行失败。

2. 值处理方式存在风险且格式错误 #

直接用",".join(val)把值拼入SQL，不仅会导致字符串没有引号包裹的格式问题，还会引发严重的SQL注入风险，同时无法正确处理带特殊字符的内容。

修正后的代码 #

我们采用参数化查询（数据库操作的最佳实践）来修复这些问题：

def insert_into_db_tmp(dbcursor, table, col, val):
    try:
        # 格式化列名字符串
        cols_str = ",".join(col)
        # 为每个值创建独立的占位符，数量和val长度一致
        placeholders = ",".join(["%s"] * len(val))
        # 构建完整的SQL语句（表名和列名确保是可信来源，避免注入）
        query = f"INSERT INTO {table} ({cols_str}) VALUES ({placeholders})"
        print(query)
        # 将val作为参数传递，pymysql会自动处理值的转义和引号包裹
        dbcursor.execute(query, val)
        print("inserted!")
    except pymysql.Error as exc:
        print("error inserting...\n {}".format(exc))

关键修改说明 #

• 正确生成SQL语句：用f-string格式化表名和列名（注意：如果table/col来自用户输入，必须先做合法性校验，防止SQL注入），同时为每个值生成独立的%s占位符。
• 参数化传递值：把val作为第二个参数传给execute()，pymysql会自动为字符串添加引号、转义特殊字符，既解决了格式问题，又规避了注入风险。
• 避免元组错误：不再用逗号生成元组，直接构建完整的可执行SQL字符串。

为什么原代码会用test.com/test2和path的原始表示？ #

因为你直接把val拼接进SQL时没有添加引号，数据库无法识别这些是字符串值，会把它们当成数据库对象（比如列名）的名称，所以就保留了原始的未转义格式。

内容的提问来源于stack exchange，提问作者John