如何在Python中安全地使用变量执行PostgreSQL查询

admin 百科 2025-12-12 9

本文详细介绍了在python中使用`psycopg2`库与postgresql数据库交互时，如何安全有效地将python变量嵌入到sql查询语句中。通过避免直接字符串拼接，我们将重点讲解使用sql占位符（`%s`）和`execute()`方法的参数化查询机制，这不仅能解决常见的`typeerror`，更能有效防范sql注入攻击，提升代码的健壮性和安全性。

如何在Python中安全地使用变量执行PostgreSQL查询-第2张图片-佛山资讯网

引言：在Python中执行带变量的SQL查询

在开发数据库驱动的Python应用时，经常需要根据程序运行时的数据动态构建SQL查询。例如，根据用户输入查询特定记录，或者更新某个字段的值。初学者常犯的一个错误是直接将Python变量拼接到SQL字符串中，这不仅可能导致语法错误或运行时异常，更重要的是，它会为SQL注入攻击打开大门，严重威胁应用程序的安全性。

本教程将以psycopg2库为例，演示如何在Python中正确且安全地使用变量执行PostgreSQL查询。

错误的实践：直接拼接变量

让我们首先看看一个常见的错误示例。假设我们想根据一个Python变量inputed_email查询用户的密码：

import psycopg2

inputed_email = "test@example.com" # 假设这是从用户输入获取的变量

conn = None
cur = None
try:
    conn = psycopg2.connect("dbname=postgres user=postgres password=postgres")
    cur = conn.cursor()

    # 错误的用法：直接将变量作为execute的独立参数，或进行字符串拼接
    # cur.execute("SELECT password FROM user WHERE email = ", inputed_email, ";")
    # 这种方式会导致 TypeError: function takes at most 2 arguments (3 given)
    # 即使使用字符串拼接，如 f"SELECT password FROM user WHERE email = '{inputed_email}';"
    # 也存在SQL注入风险且易出错

    print("尝试执行查询...")
    # 假设这里是错误的代码，为了演示问题，我们不会运行它
    # cur.execute("SELECT password FROM user WHERE email = ",inputed_email,";")
    # print(cur.fetchone())

except TypeError as e:
    print(f"捕获到错误: {e}")
    print("错误提示：execute() 函数最多接受两个参数，但您提供了三个。")
except Exception as e:
    print(f"发生其他错误: {e}")
finally:
    if cur:
        cur.close()
    if conn:
        conn.close()
    print("数据库连接已关闭。")

登录后复制

上述代码中，cur.execute("SELECT password FROM user WHERE email = ", inputed_email, ";") 尝试将SQL语句、变量和分号作为三个独立的参数传递给execute()函数。然而，psycopg2的execute()方法最多只接受两个参数：SQL查询字符串和可选的参数序列（用于占位符）。因此，这会导致TypeError: function takes at most 2 arguments (3 given)。

立即学习“Python免费学习笔记（深入）”；

即使我们尝试通过Python的f-string或字符串连接来直接构建SQL，例如 cur.execute(f"SELECT password FROM user WHERE email = '{inputed_email}';")，虽然解决了参数数量的问题，但这是一种非常危险的做法，因为它容易受到SQL注入攻击。