本文详解如何将 python 变量（如 hot_water_temp）安全、正确地传递到 mysql 的 update 语句中，避免 sql 注入风险和语法错误，重点讲解参数化查询的写法与原理。
本文详解如何将 python 变量（如 hot_water_temp）安全、正确地传递到 mysql 的 update 语句中，避免 sql 注入风险和语法错误，重点讲解参数化查询的写法与原理。
在使用 mysql-connector-python（或其他兼容 PEP 249 的数据库驱动）执行 SQL 更新操作时，直接将 Python 变量名写入 SQL 字符串（如 "SET temp = hot_water_temp"）是完全错误的。数据库引擎会将其视为列名（即查找名为 hot_water_temp 的字段），而非 Python 中定义的变量值——这正是报错 Unknown column 'hot_water_temp' in 'field list' 的根本原因。
正确的做法是使用参数化查询（parameterized query）：将 SQL 语句中的动态值用占位符（如 %s）代替，并将实际变量值作为独立参数传入 execute() 方法。驱动程序会自动完成类型适配、转义与安全拼接，既杜绝 SQL 注入，又确保数据格式正确。
✅ 正确示例（推荐）：
# 假设 hot_water_temp 是一个浮点数或整数，例如：68.5 hot_water_temp = 68.5 # 使用 %s 占位符构建参数化 SQL（注意：不要加引号包裹 %s） sql_update_query = "UPDATE environmental SET temp = %s WHERE room = %s" # 将变量值以元组形式传入 execute() —— 顺序必须与 %s 出现顺序一致 input_data = (hot_water_temp, 'Hot Water Tank A') mycursor.execute(sql_update_query, input_data) mydb.commit() # 切勿遗漏提交！
⚠️ 注意事项：
立即学习“Python免费学习笔记（深入）”；
- 占位符不可加引号：%s 是驱动层的占位符，不是字符串字面量，写成 '%s' 会导致值被强制转为字符串，可能引发类型不匹配（如数值字段存入带引号的字符串）。
- 参数必须是序列类型：execute() 的第二个参数需为元组（(...)）或列表（[...]），单个值也要写成 (value,)（末尾逗号不可省）。
- 表名/列名不能参数化：%s 仅适用于值（values），不可用于动态表名、列名或 SQL 关键字。若需动态列名，须通过白名单校验后字符串格式化（非参数化），但应尽量避免。
- 字符编码与 NULL 处理：若变量可能为 None，MySQL 驱动通常能正确映射为 NULL；确保数据库连接已设置合适字符集（如 utf8mb4）以支持中文等特殊字符。
- 异常处理建议：生产环境应包裹 try...except 捕获 mysql.connector.Error，并回滚事务（mydb.rollback()）以防部分更新。
? 补充说明：
你看到的 INSERT 示例较多，是因为 INSERT 和 UPDATE 在参数化语法上完全一致——核心逻辑都是“SQL 模板 + 参数序列”。区别仅在于 SQL 语句结构本身，而非参数传递机制。因此，掌握 %s 占位符的通用用法，即可覆盖 SELECT、INSERT、UPDATE、DELETE 等所有 DML 场景。
总结：永远避免字符串拼接 SQL；坚持使用参数化查询；牢记 execute(sql, params) 的两段式调用。这是 Python 操作 MySQL 安全性与健壮性的基石实践。
