在开发过程中，我们经常需要将程序中的数据列表批量插入到数据库中。虽然使用循环逐条插入数据是一种直观的方法，但在实际操作中，如果不注意一些细节，可能会遇到意想不到的问题，甚至引入安全漏洞。本教程将针对Python与PostgreSQL交互时，使用循环插入数据时常犯的两个错误进行深入分析，并提供专业的解决方案。
一、 理解循环中计数器重置的陷阱
一个常见的错误是在循环内部错误地重置了用于生成主键或唯一标识符的计数器。这会导致每次迭代都尝试使用相同的ID插入数据，从而触发数据库的唯一性约束或 ON CONFLICT 子句，使得只有第一条记录被成功插入。
考虑以下示例代码，它试图为艺术家列表生成并插入ID：
artist_name = ['Madonna', 'Slayer', 'Disturbed', 'Michael Jackson', 'Katty Parry']
with conn.cursor() as cur:
for artists in artist_name:
id_num = 0 # 错误：每次循环都将 id_num 重置为 0
id_num += 1 # 结果 id_num 总是 1
cur.execute(f"""INSERT INTO Artist (Id, Name)
VALUES ('{id_num}', '{artists}')
ON CONFLICT DO NOTHING""");
conn.commit() # 假设在此处提交事务
问题分析： 上述代码中的核心问题在于 id_num = 0 语句被放置在 for 循环的内部。这意味着在每次循环迭代开始时，id_num 都会被重新初始化为 0，紧接着又被 id_num += 1 语句递增到 1。因此，无论列表中有多少个艺术家，所有插入操作都将尝试使用 Id = 1。
当第一条记录（例如 'Madonna'）成功插入 Artist 表并获得 Id = 1 后，后续的插入操作（例如 'Slayer'）也会尝试插入 Id = 1。由于表上可能存在主键或唯一约束，并且查询中使用了 ON CONFLICT DO NOTHING，这些后续的插入操作将被忽略，导致只有第一个艺术家被添加到数据库中。
解决方案： 要正确地为每条记录生成唯一的递增ID，id_num 的初始化必须在循环外部进行，确保它在整个循环过程中持续累加。
artist_name = ['Madonna', 'Slayer', 'Disturbed', 'Michael Jackson', 'Katty Parry']
with conn.cursor() as cur:
id_num = 0 # 正确：在循环外部初始化计数器
for artists in artist_name:
id_num += 1 # 每次循环递增，确保唯一ID
# ... 后续的 execute 查询将使用正确的 id_num ...
conn.commit()
通过将 id_num = 0 移到循环之外，id_num 将在每次迭代中正确递增，从而为每个艺术家生成一个唯一的ID。
二、 规避SQL注入风险：参数化查询实践
解决了计数器问题后，我们还需要关注代码中存在的另一个严重安全隐患：使用f-string（字符串插值）直接拼接SQL查询。这种做法极易导致SQL注入攻击。
# 存在SQL注入风险的示例
cur.execute(f"""INSERT INTO Artist (Id, Name)
VALUES ('{id_num}', '{artists}')
ON CONFLICT DO NOTHING""");
问题分析： 当SQL查询字符串直接由用户提供或程序内部拼接的变量构成时，如果变量内容包含恶意的SQL代码（例如单引号、分号、DROP TABLE 等），这些恶意代码就会被当作SQL语句的一部分执行，从而绕过应用程序的预期逻辑，导致数据泄露、篡改甚至数据库结构被破坏。即使在此案例中 artists 列表是硬编码的，没有外部输入，但养成使用不安全方式的习惯，一旦代码被复用或修改以处理外部数据，风险将立即暴露。
解决方案：参数化查询 参数化查询（Parameterized Queries）是防御SQL注入最有效且推荐的方法。它通过将SQL语句的结构与数据值分离来实现。数据库驱动程序会将数据值作为独立的参数发送给数据库，而不是将它们作为SQL字符串的一部分。数据库在执行查询之前会先解析SQL语句的结构，然后再将参数安全地绑定到相应的位置。
以下是结合了计数器修正和参数化查询的完整代码示例：
import psycopg2 # 假设使用psycopg2库连接PostgreSQL
# 建立数据库连接（请替换为您的实际连接参数）
try:
conn = psycopg2.connect(
dbname="your_db",
user="your_user",
password="your_password",
host="localhost",
port="5432"
)
conn.autocommit = False # 显式管理事务
except psycopg2.Error as e:
print(f"无法连接到数据库: {e}")
exit()
artist_name = ['Madonna', 'Slayer', 'Disturbed', 'Michael Jackson', 'Katty Parry']
try:
with conn.cursor() as cur:
id_num = 0
for artist in artist_name:
id_num += 1
cur.execute(
"""
INSERT INTO Artist (Id, Name)
VALUES (%s, %s)
ON CONFLICT DO NOTHING
""",
(id_num, artist) # 使用元组传递参数，psycopg2默认使用 %s 占位符
)
conn.commit() # 提交事务
print("所有艺术家数据已成功插入。")
except psycopg2.Error as e:
conn.rollback() # 发生错误时回滚事务
print(f"数据插入失败: {e}")
finally:
if conn:
conn.close() # 关闭数据库连接
参数化查询的优势：
- 安全性： 有效防止SQL注入攻击，因为数据和SQL逻辑是分离的。
- 性能： 数据库可以缓存已解析的SQL语句，提高重复执行的效率。
- 可读性： SQL语句结构更清晰，易于维护。
注意事项：
- 不同的数据库驱动程序可能使用不同的占位符。例如，psycopg2 通常使用 %s，而其他库可能使用 ? 或 :param_name。请查阅您所用数据库驱动的文档。
- 对于PostgreSQL，如果使用 psycopg2 库，可以通过 psycopg2.extras.execute_values 实现更高效的批量插入，它能一次性发送多行数据，减少数据库往返次数。但这超出了本教程的直接范围。
三、 总结与最佳实践建议
在PostgreSQL中使用Python循环插入数据时，确保代码的正确性和安全性至关重要。
- 正确管理计数器： 始终将用于生成唯一ID的计数器初始化在循环外部，并在循环内部递增。这样可以确保每个插入操作都使用一个唯一的标识符。
- 强制使用参数化查询： 永远不要使用字符串拼接（如f-string）来构建包含变量的SQL查询。采用参数化查询是防御SQL注入攻击的黄金法则，它能有效隔离SQL逻辑与数据，提升应用程序的安全性与健壮性。
- 事务管理： 对于涉及多条记录的插入操作，推荐使用事务（conn.commit() 和 conn.rollback()）。这可以确保所有操作要么全部成功，要么全部失败，保持数据的一致性。
- 考虑数据库原生ID生成： 在PostgreSQL中，更推荐使用数据库自带的序列（SERIAL 或 BIGSERIAL 类型）或 IDENTITY 列来自动生成主键ID，而不是在应用程序层面手动维护计数器。这不仅简化了应用程序逻辑，还能更好地处理并发和分布式环境下的ID生成问题。例如，将 Id 列定义为 SERIAL PRIMARY KEY，然后在 INSERT 语句中省略 Id 列，数据库会自动为其赋值。
遵循这些最佳实践，您的数据插入操作将更加可靠、高效和安全。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
