如何基于Python条件创建动态Raw Queryset？

没问题，你可以通过Python的条件判断来动态拼接SQL语句，实现这种灵活的Raw QuerySet构建。下面给你两种实用的实现方式，同时重点提醒SQL注入风险的规避方法：

方法一：基础字符串拼接（适合简单分支） #

先定义固定的SQL基础部分，再根据var_a的值拼接不同的后缀：

# 基础SQL片段（可补充你需要的JOIN等固定逻辑）
base_sql = """
SELECT DISTINCT ON(P.slug) P.id, P.slug, P.company_id, I.image
FROM product AS P
"""

# 根据Python条件动态拼接
if var_a:
    final_sql = base_sql.strip() + " LIMIT 20"
    qs = self.raw(final_sql)
else:
    # 重点：用参数化查询避免SQL注入，不要直接把var_b拼进字符串！
    final_sql = base_sql.strip() + " WHERE P.id = %s"
    qs = self.raw(final_sql, [var_b])

方法二：列表拼接（适合多分支场景，更易维护） #

如果后续有更多条件需要添加，用列表管理SQL片段会更清晰，最后再拼接成完整SQL：

# 初始化SQL片段列表
sql_parts = [
    "SELECT DISTINCT ON(P.slug) P.id, P.slug, P.company_id, I.image",
    "FROM product AS P"
    # 这里可以加入其他固定子句，比如 JOIN image AS I ON P.id = I.product_id
]

# 根据条件添加对应片段
if var_a:
    sql_parts.append("LIMIT 20")
else:
    sql_parts.append("WHERE P.id = %s")

# 拼接成最终SQL（用空格分隔保证语法正确）
final_sql = " ".join(sql_parts)

# 执行查询，根据分支决定是否传参数
qs = self.raw(final_sql, [var_b]) if not var_a else self.raw(final_sql)

关键注意事项 #

• 绝对禁止直接拼接变量到SQL字符串：比如f"WHERE P.id = {var_b}"这种写法会引发严重的SQL注入漏洞，一定要用Django Raw QuerySet支持的参数化方式（把变量放在第二个参数的列表里）。
• 如果你的条件逻辑更复杂（比如多个if-elif分支），可以继续扩展sql_parts列表的逻辑，这种方式比嵌套字符串拼接更易读、更易维护。

内容的提问来源于stack exchange，提问作者user3541631