本文详解如何将 python 变量安全注入 mysql 的 update 语句，避免 sql 注入风险与语法错误，重点介绍参数化查询的写法及原理。
本文详解如何将 python 变量安全注入 mysql 的 update 语句，避免 sql 注入风险与语法错误，重点介绍参数化查询的写法及原理。
在使用 mysql-connector-python（或其他兼容 PEP 249 的 MySQL 驱动）执行数据库更新操作时，绝不能直接将 Python 变量拼接进 SQL 字符串（如 "UPDATE ... SET temp = " + str(hot_water_temp) 或 "SET temp = hot_water_temp"）。正如提问者所遇错误所示：
mysql.connector.errors.ProgrammingError: 1054 (42S22): Unknown column 'hot_water_temp' in 'field list'
该错误表明：MySQL 将未加引号的 hot_water_temp 解析为列名（column name），而非变量值——因为 SQL 引擎完全不识别 Python 变量作用域，它只解析传入的原始 SQL 文本。
✅ 正确做法是使用参数化查询（parameterized query），由驱动自动完成类型转换、转义与安全绑定。MySQL 连接器支持 %s 占位符（注意：不是 Python 的字符串格式化，而是驱动级占位符），并严格按顺序将元组中的值安全注入。
✅ 推荐写法：使用 %s 占位符 + 元组参数
# 假设 hot_water_temp 是一个 float 或 int 类型的变量 hot_water_temp = 42.5 # 构建参数化 UPDATE 语句（%s 是占位符，非字符串格式化） sql_update_query = "UPDATE environmental SET temp = %s WHERE room = %s" # 准备参数元组：顺序必须与 %s 出现顺序一致 input_data = (hot_water_temp, 'Hot Water Tank A') # 执行（驱动自动处理类型、转义、防注入） mycursor.execute(sql_update_query, input_data) mydb.commit()
⚠️ 注意表名拼写：原问题中为 enviromental（疑似笔误），标准应为 environmental，请根据实际表结构调整。
立即学习“Python免费学习笔记（深入）”；
? 为什么这样更安全、更可靠？
- 防止 SQL 注入：用户输入（如 room = "'; DROP TABLE environmental; --"）会被自动转义，不会破坏 SQL 结构；
- 类型自动适配：%s 可接受 int, float, str, None 等，驱动将其映射为对应 MySQL 类型（如 TINYINT, DECIMAL, VARCHAR, NULL）；
- 避免引号陷阱：无需手动加单引号或处理字符串中的 '，例如 room = "Living Room's Sensor" 也能安全传入；
- 统一接口：INSERT, UPDATE, DELETE, SELECT 均适用同一参数化模式，降低认知负担。
❌ 常见错误写法（务必避免）
| 错误示例 | 问题说明 |
|---|---|
| "UPDATE ... SET temp = " + str(hot_water_temp) | 字符串拼接 → 易受 SQL 注入；浮点数精度/格式问题；无类型校验 |
| "UPDATE ... SET temp = hot_water_temp" | MySQL 把变量名当列名 → 报错 Unknown column |
| f"UPDATE ... SET temp = {hot_water_temp}" | f-string 拼接 → 同样高危，且无法转义特殊字符 |
? 进阶提示：批量更新与命名参数（可选）
若需更新多条记录，可用 executemany()：
updates = [
(38.2, 'Hot Water Tank A'),
(22.1, 'Living Room'),
(25.6, 'Kitchen')
]
mycursor.executemany("UPDATE environmental SET temp = %s WHERE room = %s", updates)
mydb.commit()? 提示：部分驱动（如 PyMySQL）支持命名参数（%(temp)s），但 mysql-connector-python 仅支持位置参数 %s，不支持 %(name)s 语法。
✅ 总结
- Python 变量永远无法直接出现在 SQL 字符串中，必须通过参数化方式传递；
- 使用 "UPDATE ... SET col = %s WHERE ... = %s" + cursor.execute(sql, (val1, val2)) 是唯一推荐方案；
- 始终调用 commit() 提交事务（除非使用了自动提交模式 autocommit=True）；
- 开发阶段建议开启 raise_on_warnings=True 并捕获 mysql.connector.Error，便于快速定位 SQL 逻辑错误。
掌握参数化 UPDATE，既是安全底线，也是专业实践的起点。
