在 Python 中将变量动态写入 SQL 查询语句时，建议采用参数化查询或使用 ORM 工具（如 SQLAlchemy）来安全地绑定变量，从而避免 SQL 注入并提高代码可维护性。以下是一些常见的实现方式： ### 使用 `pandas.read_sql` 和参数化查询 当结合 Pandas 与数据库操作时，可以通过 `params` 参数传递变量，这种方式能够有效防止 SQL 注入问题，并且语法简洁清晰： ```python import pandas as pd from sqlalchemy import create_engine engine = create_engine('postgresql://user:password@localhost:5432/mydatabase') query = "SELECT * FROM my_table WHERE date_column >= :start_date AND date_column <= :end_date" df = pd.read_sql(query, engine, params={"start_date": '2023-01-01', "end_date": '2023-01-31'}) ``` 该方法利用了 SQLAlchemy 的参数绑定机制，确保变量以安全的方式插入到 SQL 查询中[^1]。 ### 使用 `pymssql` 或 `mysql.connector` 进行参数化查询 对于直接执行 SQL 的场景，推荐使用上下文管理器和参数化查询方式，这样可以保证连接的正确释放，并提升安全性： ```python import pymssql with pymssql.connect(host='localhost', user='xx', password='xx', database='dbpython') as conn: with conn.cursor() as cursor: start_date = '2023-01-01' end_date = '2023-01-31' query = "SELECT * FROM my_table WHERE date_column BETWEEN %s AND %s" cursor.execute(query, (start_date, end_date)) results = cursor.fetchall() ``` 上述代码通过 `%s` 占位符将变量安全地传递给 SQL 查询，避免手动拼接字符串带来的潜在风险[^2]。 ### 字符串格式化用于构造复杂 SQL 语句 在某些情况下，可能需要手动拼接 SQL 语句，此时可以使用 `.format()` 方法进行字符串替换。但需注意，这种方式容易受到 SQL 注入攻击，因此应仅在必要时使用，并确保输入已严格验证： ```python day1 = '2023-01-01' day2 = '2023-01-31' sql_query = """ SELECT COUNT(value) FROM "D_COLLECT_MANUALDATA" WHERE collect_id LIKE 'SP%' AND collect_time >= '{0}'::TIMESTAMP AND collect_time <= '{1}'::TIMESTAMP; """.format(day1, day2) ``` 此方法适用于复杂的多行 SQL 语句结构，但仍需谨慎处理输入内容以避免注入漏洞[^3]。 ---