在Python中安全地使用变量执行PostgreSQL SQL语句

---

在使用`psycopg2`库与postgresql交互时，正确地在sql语句中传递变量是至关重要的。本文将详细介绍如何利用`psycopg2.cursor.execute()`方法的占位符（`%s`）机制，安全且高效地将python变量嵌入到sql查询中，避免常见的`typeerror`错误，并有效防范sql注入攻击，确保数据操作的准确性和安全性。

理解psycopg2.cursor.execute()方法

当我们需要在Python中执行包含动态值的SQL查询时，直接拼接字符串或错误地传递参数是常见的误区。psycopg2库提供了一种安全且推荐的方式来处理这种情况，即使用占位符和参数化查询。

常见错误及原因分析

许多初学者可能会尝试将变量直接作为execute()方法的额外参数传递，例如：

conn = psycopg2.connect("dbname=postgres user=postgres password=postgres")
cur = conn.cursor()

inputed_email = "test@example.com" # 假设这是从用户输入获取的变量
cur.execute("SELECT password FROM user WHERE email = ", inputed_email, ";")
print(cur.fetchone())

cur.close()
conn.close()

上述代码会导致TypeError: function takes at most 2 arguments (3 given)错误。原因在于：

1. execute()方法最多只接受两个参数：SQL查询字符串和可选的参数序列（如列表或元组）。
2. Python的print()函数允许你传递多个参数，它们会以空格分隔打印出来，但这不适用于execute()方法。SQL语句中的变量需要通过特定的占位符机制来传递。

正确的参数化查询方法

psycopg2通过使用特殊的占位符（%s）来表示SQL语句中需要替换的变量，并将这些变量的值作为execute()方法的第二个参数（一个序列）传入。

1. 使用%s作为占位符

在SQL查询字符串中，任何需要由Python变量替换的位置，都应该使用%s作为占位符。psycopg2会自动处理数据类型的转换和值的引用。

SELECT password FROM user WHERE email = %s;

2. 将变量作为序列传递

execute()方法的第二个参数必须是一个序列（列表或元组），其中包含按顺序对应占位符的值。即使只有一个变量，也必须将其封装在一个序列中。

Keeva AI

AI一键生成数字人营销视频

245 查看详情

示例：单个变量

import psycopg2

try:
    conn = psycopg2.connect("dbname=postgres user=postgres password=postgres")
    cur = conn.cursor()

    inputed_email = "test@example.com" # 假设这是从用户输入获取的变量

    # 正确使用占位符和参数序列
    cur.execute("SELECT password FROM user WHERE email = %s;", [inputed_email])

    result = cur.fetchone()
    if result:
        print(f"用户 {inputed_email} 的密码是: {result[0]}")
    else:
        print(f"未找到邮箱为 {inputed_email} 的用户。")

except psycopg2.Error as e:
    print(f"数据库操作错误: {e}")
finally:
    if cur:
        cur.close()
    if conn:
        conn.close()

在这个例子中，[inputed_email]是一个包含单个元素的列表，它被传递给execute()方法，psycopg2会自动将inputed_email的值替换到SQL语句中的%s位置。

示例：多个变量

如果你的SQL查询需要替换多个变量，只需在SQL字符串中添加更多%s占位符，并在参数序列中按顺序提供对应的值。

import psycopg2

try:
    conn = psycopg2.connect("dbname=postgres user=postgres password=postgres")
    cur = conn.cursor()

    email = "john.doe@example.com"
    lastname = "Doe"

    # 使用多个占位符和对应的参数序列
    cur.execute("SELECT password FROM user WHERE email = %s AND lastname = %s;", [email, lastname])

    result = cur.fetchone()
    if result:
        print(f"用户 {email}, {lastname} 的密码是: {result[0]}")
    else:
        print(f"未找到邮箱为 {email} 且姓氏为 {lastname} 的用户。")

except psycopg2.Error as e:
    print(f"数据库操作错误: {e}")
finally:
    if cur:
        cur.close()
    if conn:
        conn.close()

注意事项与最佳实践

1. 防止SQL注入攻击： 这是使用占位符进行参数化查询最主要的好处。psycopg2会自动对传入的变量值进行适当的转义，从而有效防止恶意用户通过输入特殊字符来篡改SQL查询逻辑（即SQL注入攻击）。直接使用f-string或字符串拼接来构建SQL查询是极度危险的。
2. 数据类型处理： psycopg2会根据Python变量的类型自动将其转换为对应的PostgreSQL数据类型。例如，Python的int会转换为PostgreSQL的INTEGER，str会转换为TEXT或VARCHAR等。
3. SQL语句末尾的分号： 在PostgreSQL中，SQL语句末尾的分号（;）是可选的，但通常建议加上以保持一致性和可读性。psycopg2通常可以正确处理带或不带分号的语句。
4. 事务管理： 在执行写操作（INSERT, UPDATE, DELETE）后，记得调用conn.commit()来保存更改。如果发生错误，可以使用conn.rollback()回滚事务。
5. 资源管理： 始终确保在操作完成后关闭游标（cur.close()）和数据库连接（conn.close()），即使发生异常也要通过try...finally块来保证。

总结

通过遵循psycopg2推荐的参数化查询方法，即在SQL语句中使用%s占位符，并将变量作为execute()方法的第二个参数（一个序列）传入，开发者可以确保Python应用程序与PostgreSQL数据库进行安全、高效且健壮的交互。这种方法不仅解决了常见的TypeError问题，更是防御SQL注入攻击的关键实践。

以上就是在Python中安全地使用变量执行PostgreSQL SQL语句的详细内容，更多请关注其它相关文章！

# 将其  # 营销获客推广费用  # 、seo优化排名营销  # 榕城区文明网站建设  # 网站推广情况说明模板怎么写  # 大渝火锅店推广营销策划案  # 郑州快速seo新站优化方案  # 郑州网站建设代理商  # seo网站优化平台  # 晋江抖音关键词排名厂家  # SEO统计表格制作模板  # 可选  # 并将  # 中文网  # word  # 文档  # 转换为  # 是一个  # 第二个  # 这是  # 多个  # 防止sql注入  # sql语句  # 邮箱  # sql注入  # ai  # python 

相关栏目： 【 Google疑问12 】 【 Facebook疑问10 】 【 优化推广96088 】 【 技术知识133117 】 【 IDC资讯59369 】 【 网络运营7196 】 【 IT资讯61894 】

相关推荐： 花生壳内网映射新方案  小米civi如何设置锁屏时间  解决Go encoding/json 将JSON大数字解析为浮点数的问题  composer 提示 "requires ext-soap" 缺少 SOAP 扩展怎么办？  Google Drive API 认证：服务账户与OAuth 2.0的选择与实践  百度浏览器无法安装扩展程序_百度浏览器插件安装失败原因解析  漫蛙app官方版手机正版入口-漫蛙漫画manwa在线漫画正版入口  steam缓存文件在哪儿_steam缓存文件的路径查找方法与结构说明  哔哩哔哩的|直播|间怎么送礼物_哔哩哔哩|直播|送礼操作指南  告别繁琐SEO！如何使用SyliusSitemap插件自动化生成网站地图，提升搜索引擎排名  MongoDB聚合管道：高效统计列表中各项的文档数量  Highcharts雷达图径向轴数值标签实现教程  更换小红书群背景怎么换?小红书群规则怎么设置？  如何定制PrimeNG Sidebar的背景颜色  冬季去寒冷地区旅游，以下哪种做法有助于缓解冻伤  微博网页版入口链接 微博网页版在线互动平台  青橙手机语音助手怎么唤醒_青橙手机语音助手设置与唤醒方法  PPT页面尺寸怎么修改 PPT自定义幻灯片大小与方向设置【教程】  PySimpleGUI中实现键盘按键与按钮事件绑定教程  QQ邮箱官方登录页_腾讯出品安全稳定的邮箱服务  Mac如何开启画中画模式_Mac Safari浏览器视频画中画功能  苹果SE如何开启单手模式_苹果SE单手操作功能  天堂漫画网页版在线阅读 天堂漫画手机版入口  Dash应用多值文本输入处理与类型转换教程  B站怎么开|直播| B站|直播|申请需要什么条件【新手必看】  解决C#跨线程访问XML对象的异常 安全的并发XML处理模式  RxJS中如何高效地在一个函数内处理和合并多个数据集合  手机雨课堂网页版入口免登录 雨课堂网页版可点击直接进入  PHP utf8_encode 字符编码转换疑难解析与最佳实践  魔法祈幻界兑换码礼包大全  J*aScript装饰器_元编程实战  Lar*el Eloquent：高效删除多对多关系中无关联子记录的父模型  c++如何实现观察者设计模式_c++行为型设计模式实战  微信注销后银行卡解绑了吗_微信注销后银行卡解绑状态  163邮箱网页版官方登录入口 163邮箱网页版访问页面  CodeIgniter 3 中基于 MySQL 数据高效生成动态图表教程  PSD转AI文件的简单方法  虫虫漫画绿色安全入口_虫虫漫画绿色安全入口安全看漫画  键盘测试软件哪个好_键盘故障检测工具推荐  荣耀 Magic10 Pro 系统更新提示失败_荣耀 Magic10 Pro 升级修复  使用CSS :has() 选择器实现父元素样式控制：从子元素反向应用样式  可米酷漫画在线阅读入口_ 可米酷漫画官网直达链接  微信客户端如何找回密码_微信客户端忘记密码找回方法  《下一站江湖2》大雪山加入方法  b站网页版入口 哔哩哔哩官方网站直接进入  163邮箱在线登录 163邮箱网页版在线入口  支付宝登录刷脸不是本人如何解决  《深林》冬季章节图文攻略  抖音如何进行蓝V认证 抖音企业号申请所需资料与流程  荣耀Magic6 Pro拍照成像偏暗_荣耀Magic6 Pro夜景优化 

 2025-12-07