psycopg2 傳入表名

Question

我有以下查詢

table = "#temp_table"
cursor.execute("""select * from %s as a """, (table))

我在源代碼中不斷收到語法錯誤。 為什么這不起作用？

Answer 1

您收到此錯誤是因為傳遞給第二個參數(table) （實際上應該是(table,) ）的參數在運行的 SQL 語句中被轉義了。

在此示例中， select * from %s as a轉換為select * from '#temp_table' as a ，這是一個錯誤。 要正確插入表名，您需要像這樣直接格式化 SQL 語句字符串：

query = 'select * from "{}" as a'.format(table)
cursor.execute(query)

您應該非常小心以這種方式將哪些數據插入到查詢中，因為它極易受到 SQL 注入攻擊。 不要將其用於不受信任的數據。