Python高级技术之：如何利用`Python`的`f-string`，安全地构建`SQL`查询。

各位观众老爷，晚上好！今儿咱们不聊风花雪月，就来唠唠嗑，说说 Python 里那些能让数据库管理员们眼前一亮的“骚操作”。今天要讲的主题是：如何用 Python 的 f-string 安全又优雅地构建 SQL 查询。

开场白：SQL 注入的那些“爱恨情仇”

先别急着打哈欠，我知道 SQL 注入这玩意儿听起来像个老生常谈的话题。但它就像是编程界永远的“顶流”，时不时就要出来刷一波存在感。为啥？因为稍微不留神，你的网站、你的应用，甚至你的银行账户，就可能被黑客老哥们给“安排”了。

SQL 注入的本质，就是把用户输入当成代码的一部分来执行。想象一下，你本来只想让用户输入用户名，结果人家输入了一段恶意 SQL 代码，然后你的数据库就被“喜提”删库跑路套餐，你说冤不冤？

传统方法：字符串拼接的“甜蜜陷阱”

在 f-string 出现之前，我们构建 SQL 查询，通常会用字符串拼接或者 % 格式化。这两种方法简单粗暴，但也埋藏着深深的隐患。

举个栗子：

username = input("请输入用户名：")
query = "SELECT * FROM users WHERE username = '" + username + "'"
print(query) # 输出构建的SQL查询字符串

如果用户输入的是 '; DROP TABLE users; --，那么 SQL 查询就会变成：

SELECT * FROM users WHERE username = ''; DROP TABLE users; --'

看到没？一条 DROP TABLE users; 就把你的用户表给删了。这就是典型的 SQL 注入。

% 格式化也差不多，本质上还是字符串拼接，只是换了个更“优雅”的姿势。

username = input("请输入用户名：")
query = "SELECT * FROM users WHERE username = '%s'" % username
print(query)

同样，如果用户输入恶意代码，依然逃不过被注入的命运。

f-string：拯救世界的“超级英雄”？

f-string (formatted string literals) 是 Python 3.6 引入的一个新特性。它最大的优点，就是让字符串格式化变得更加简洁、易读。但是，直接用 f-string 拼接 SQL 查询，仍然存在注入风险！

username = input("请输入用户名：")
query = f"SELECT * FROM users WHERE username = '{username}'"
print(query)

这段代码看起来比之前的字符串拼接更舒服，但本质上和直接拼接没什么区别，一样会被注入。

所以，f-string 本身并不能防止 SQL 注入，关键在于我们如何使用它。

正确姿势：参数化查询才是王道！

防止 SQL 注入的终极武器，是参数化查询。参数化查询的核心思想，就是把用户输入当作数据，而不是代码。数据库驱动会负责对这些数据进行转义，确保它们不会被当作 SQL 代码来执行。

不同的数据库驱动，参数化查询的语法可能略有不同。下面以 sqlite3 和 psycopg2 (PostgreSQL) 为例，演示如何使用 f-string 结合参数化查询。

1. sqlite3

import sqlite3

conn = sqlite3.connect('example.db')
cursor = conn.cursor()

username = input("请输入用户名：")
query = "SELECT * FROM users WHERE username = ?" # 注意这里的占位符 ?

# 使用 execute 方法，将查询和参数分开传递
cursor.execute(query, (username,)) # username 必须是元组或者列表
result = cursor.fetchone()

if result:
    print(f"找到了用户：{result}")
else:
    print("没有找到用户")

conn.close()

在这个例子中，我们使用了 ? 作为占位符，然后通过 cursor.execute() 方法，将 SQL 查询和参数分开传递。sqlite3 会自动对 username 进行转义，确保它不会被当作 SQL 代码来执行。

2. psycopg2 (PostgreSQL)

import psycopg2

# 记得替换成你自己的数据库连接信息
conn = psycopg2.connect(database="mydatabase", user="myuser", password="mypassword", host="localhost", port="5432")
cursor = conn.cursor()

username = input("请输入用户名：")
query = "SELECT * FROM users WHERE username = %s" # 注意这里的占位符 %s

# 使用 execute 方法，将查询和参数分开传递
cursor.execute(query, (username,)) # username 必须是元组或者列表
result = cursor.fetchone()

if result:
    print(f"找到了用户：{result}")
else:
    print("没有找到用户")

conn.commit()
conn.close()

在 psycopg2 中，我们使用了 %s 作为占位符。同样，通过 cursor.execute() 方法，将 SQL 查询和参数分开传递。psycopg2 会负责对 username 进行转义，防止 SQL 注入。

f-string 的妙用：让代码更优雅

虽然参数化查询是防止 SQL 注入的关键，但我们可以利用 f-string 让代码更优雅、更易读。

例如，可以把查询语句和参数放在一个字典里，然后用 f-string 动态地构建查询。

import sqlite3

conn = sqlite3.connect('example.db')
cursor = conn.cursor()

user_data = {
    'username': input("请输入用户名："),
    'email': input("请输入邮箱：")
}

query = f"""
SELECT * FROM users
WHERE username = ? AND email = ?
"""

cursor.execute(query, (user_data['username'], user_data['email']))
result = cursor.fetchone()

if result:
    print(f"找到了用户：{result}")
else:
    print("没有找到用户")

conn.close()

在这个例子中，我们使用了多行 f-string (用三个引号 """ 包裹)，让查询语句更清晰。同时，我们把用户数据放在一个字典里，方便管理。

进阶技巧：动态构建查询条件

有时候，我们需要根据用户的输入，动态地构建查询条件。例如，用户可以选择按照用户名、邮箱或者注册时间来搜索。

在这种情况下，我们可以使用 f-string 结合条件判断，动态地拼接 SQL 查询语句。

import sqlite3

conn = sqlite3.connect('example.db')
cursor = conn.cursor()

conditions = []
params = []

username = input("请输入用户名 (可选)：")
if username:
    conditions.append("username = ?")
    params.append(username)

email = input("请输入邮箱 (可选)：")
if email:
    conditions.append("email = ?")
    params.append(email)

if conditions:
    where_clause = "WHERE " + " AND ".join(conditions)
else:
    where_clause = ""

query = f"SELECT * FROM users {where_clause}"

cursor.execute(query, tuple(params))
result = cursor.fetchall()

if result:
    print(f"找到了 {len(result)} 个用户：")
    for user in result:
        print(user)
else:
    print("没有找到用户")

conn.close()

在这个例子中，我们首先创建了两个列表 conditions 和 params，分别用于存储查询条件和参数。然后，根据用户的输入，动态地向这两个列表添加元素。最后，使用 join() 方法将查询条件拼接成 WHERE 子句。

重要提示：永远不要信任用户输入！

虽然参数化查询可以有效地防止 SQL 注入，但我们仍然要时刻保持警惕，不要信任任何用户输入。

• 验证用户输入： 对用户输入进行验证，确保它们符合预期的格式。例如，可以使用正则表达式来验证邮箱地址、电话号码等。
• 转义特殊字符： 除了参数化查询，还可以使用数据库驱动提供的转义函数，对用户输入中的特殊字符进行转义。
• 限制用户权限： 尽量使用最小权限原则，只给用户必要的数据库访问权限。

总结：安全、优雅地构建 SQL 查询

方法	优点	缺点	安全性	适用场景
字符串拼接	简单粗暴，容易上手	容易出错，难以维护，存在 SQL 注入风险	非常低	绝对不要使用！
% 格式化	比字符串拼接略好，但本质上仍然是字符串拼接	存在 SQL 注入风险	低	尽量避免使用。
f-string (直接拼接)	简洁易读，代码更优雅	存在 SQL 注入风险	低	不要直接将用户输入嵌入 f-string 中。
参数化查询 + f-string	安全可靠，代码优雅，易于维护	语法略微复杂	高	强烈推荐！几乎所有需要构建 SQL 查询的场景。

通过今天的讲解，相信大家已经掌握了如何使用 f-string 安全、优雅地构建 SQL 查询。记住，参数化查询是防止 SQL 注入的终极武器，而 f-string 可以让你的代码更简洁、更易读。

在实际开发中，要根据具体情况选择合适的方法，并时刻保持警惕，不要信任任何用户输入。只有这样，才能确保你的数据库安全无虞。

好了，今天的讲座就到这里。谢谢大家！希望大家以后都能写出安全又优雅的 Python 代码！