如何在Python中为BigQuery的SQL查询传入userid变量

嘿，我懂你现在的困扰——每次查BigQuery都要硬编码userid太麻烦，想动态传参数但直接写变量名又不生效对吧？这问题其实挺常见的，我给你两种解决办法，优先推荐安全的那种哦！

方法一：使用BigQuery参数化查询（推荐，防SQL注入） #

这是最安全规范的方式，BigQuery官方也推荐用参数化查询来传递变量，能彻底避免SQL注入风险。具体代码如下：

from google.cloud import bigquery

def user_id_data(passed_id):
    # 定义带占位符的SQL，用@变量名标记需要替换的位置
    query = """
        SELECT *
        FROM `name_of_the_place_in_BigQUery`
        WHERE userId = @user_id
    """
    
    # 配置查询参数，指定参数名、类型和值
    job_config = bigquery.QueryJobConfig(
        query_parameters=[
            bigquery.ScalarQueryParameter("user_id", "STRING", passed_id)
        ]
    )
    
    # 创建BigQuery客户端并执行查询
    client = bigquery.Client()
    query_job = client.query(query, job_config=job_config)
    results = query_job.result()
    
    # 这里可以根据你的需求处理结果，比如转成列表或者直接返回
    return list(results)

调用的时候直接传userid就行：

print(user_id_data("1a2b3c4d"))

这种方式是让BigQuery自己处理变量替换，不用担心恶意输入搞破坏，非常适合生产环境使用。

方法二：字符串格式化（仅适用于可信输入） #

如果只是自己测试用，或者传入的userid都是完全可信的，也可以用Python的字符串格式化来快速实现，但一定要注意风险：

方式1：f-string格式化 #

def user_id_data(passed_id):
    # 用f-string把变量值插入SQL，注意要给字符串类型的userid加引号
    query = f"""
        SELECT *
        FROM `name_of_the_place_in_BigQUery`
        WHERE userId = "{passed_id}"
    """
    return query_bigquery(query)

方式2：str.format()格式化 #

def user_id_data(passed_id):
    query = """
        SELECT *
        FROM `name_of_the_place_in_BigQUery`
        WHERE userId = "{}"
    """.format(passed_id)
    return query_bigquery(query)

⚠️ 重要提醒：如果passed_id是来自用户输入、外部接口这类不可信的来源，绝对不能用这种方法！恶意用户可以构造特殊字符串（比如" OR 1=1 --）来窃取所有数据，这就是SQL注入攻击，风险极大。

总结一下，你之前的代码失效是因为SQL里的passed_id只是普通字符串，并没有被替换成Python变量的实际值，用上面的方法就能解决这个问题啦～

备注：内容来源于stack exchange，提问作者google_user