### Python 中 SQL `INSERT INTO` 语法及 `%s` 占位符的作用 #### 插入语句的结构 SQL 的 `INSERT INTO` 语句用于向数据库表中插入新记录。基本语法如下： ```sql INSERT INTO table_name (column1, column2, ..., columnN) VALUES (value1, value2, ..., valueN); ``` 此语句指定要插入数据的目标表名 (`table_name`) 和列名 `(column1, column2,...)`，并提供对应的值 `(value1, value2,...)`。 在动态构建 SQL 查询时，通常不会直接将用户输入嵌入到查询字符串中，而是使用占位符来防止 SQL 注入攻击[^1]。 --- #### `%s` 占位符的意义 在 Python 数据库接口（如 pymysql、psycopg2 或 pyodbc）中，`%s` 是一种特殊的占位符，表示待插入的数据位置。它并不等同于 Python 字符串格式化中的 `%s`，而是一个由数据库驱动程序解释的标记。当执行带有占位符的 SQL 查询时，数据库驱动会自动处理转义字符和特殊符号，从而提高安全性[^3]。 以下是几个常见场景及其代码实现： --- #### 使用 PyMySQL 进行插入操作 PyMySQL 支持通过 `%s` 来传递参数。例如： ```python import pymysql connection = pymysql.connect(host='localhost', user='root', password='password', database='testdb') cursor = connection.cursor() query = "INSERT INTO users (name, age) VALUES (%s, %s)" data = ("Alice", 25) try: cursor.execute(query, data) connection.commit() except Exception as e: connection.rollback() finally: cursor.close() connection.close() ``` 上述代码中，`(name, age)` 表示目标列，`(%s, %s)` 则是占位符，实际值 `"Alice"` 和 `25` 将被安全地绑定到这些占位符上。 --- #### psycopg2 的 mogrify 方法 Psycopg2 提供了一个名为 `mogrify()` 的方法，它可以预览最终生成的 SQL 查询字符串。这有助于调试复杂的查询逻辑。例如： ```python import psycopg2 conn = psycopg2.connect(database="testdb", user="postgres", password="password", host="localhost") cur = conn.cursor() query = "INSERT INTO products (id, name) VALUES (%s, %s)" params = (101, 'Laptop') print(cur.mogrify(query, params)) # 输出完整的 SQL 语句 cur.execute(query, params) conn.commit() cur.close() conn.close() ``` 在这里，`mogrify()` 返回的结果类似于： `b"INSERT INTO products (id, name) VALUES (101, 'Laptop')"`[^2] --- #### 批量插入数据 对于大量数据的插入操作，可以利用 `executemany()` 方法优化性能。以下是一个例子： ```python def batch_insert(cursor, data): sql = "INSERT INTO employees (first_name, last_name, salary) VALUES (%s, %s, %s)" try: cursor.executemany(sql, data) except Exception as e: print(f"Error during insertion: {e}") # 示例数据 employees_data = [ ('John', 'Doe', 5000), ('Jane', 'Smith', 6000), ('Mike', 'Brown', 7000) ] batch_insert(cursor, employees_data) ``` 这段代码展示了如何一次性插入多条记录，减少与数据库交互的次数。 --- #### SQLite 中的命名占位符 SQLite 驱动支持另一种类型的占位符——字典风格的命名占位符 `{key}`。这种方式允许更灵活地定义参数名称。例如： ```python import sqlite3 conn = sqlite3.connect('example.db') cursor = conn.cursor() query = "INSERT INTO books (title, author, year) VALUES (:title, :author, :year)" values = { 'title': 'The Great Gatsby', 'author': 'F. Scott Fitzgerald', 'year': 1925 } cursor.execute(query, values) conn.commit() cursor.close() conn.close() ``` 这里使用的 `:(parameter)` 形式的占位符使得代码更具可读性和维护性[^5]。 --- #### 处理中文字符和其他复杂情况 如果涉及非 ASCII 字符集（如中文），需确保数据库连接编码设置正确。例如，在 PyMySQL 中可以通过 `charset='utf8mb4'` 参数解决潜在问题[^4]。 ```python connection = pymysql.connect( host='localhost', user='root', password='password', database='chinese_db', charset='utf8mb4' ) ``` --- ### 总结 - `%s` 是许多 Python 数据库模块中推荐使用的占位符，旨在增强安全性。 - 不同模块可能具有额外功能（如 `mogrify()` 方法）帮助开发者更好地控制和理解生成的 SQL。 - 对于大批量数据插入，应优先考虑 `executemany()` 而不是逐条调用 `execute()`。 - 始终注意字符集配置以避免乱码等问题。 ---