本文讲解如何根据用户权限动态调整 SQL 查询结构（如添加或省略 WHERE 子句），避免因参数不匹配导致的 ProgrammingError，并通过分离 SQL 与参数实现安全、可维护的数据库操作。
本文讲解如何根据用户权限动态调整 sql 查询结构（如添加或省略 where 子句），避免因参数不匹配导致的 `programmingerror`，并通过分离 sql 与参数实现安全、可维护的数据库操作。
在使用 mysql-connector-python 或类似驱动执行参数化查询时，一个常见误区是：SQL 语句中未使用的占位符（如 %s）仍被传入参数元组。这会导致 Not all parameters were used in the SQL statement 错误——正如示例中当用户权限为管理员（check_user_level > 0）时，WHERE UserID = %s 被移除，但 (current_user,) 仍作为参数传入，引发异常。
根本解决方案是：将 SQL 字符串与对应参数解耦，按逻辑分支分别定义 query 和 params。这样确保 cursor.execute() 接收的参数始终与当前 SQL 中的占位符严格一致。
以下是优化后的完整实现：
SkillSub Pro - Python 题解与代码注释双功能技能功能概述SkillSub Pro - Python 题解与代码注释双功能技能是一项面向实际任务的技能，主要用于SkillSub Pro 是一个 Python 题解生成与代码注释的 双功能合体技能 ，专为学生、算法学习者和开发者设计；✅ 一个技能，两种用途 ：；核心要点📝 题解模式 ：输入题目/题号，自动生成完整 Python 题解（含详细注释、解题思路、复杂度分析）；💬 注释模式 ：输入 Python 代码，自动添加详细中。它将相关步骤、
def get_expenses_by_type(self, current_user):
try:
cursor = self.main_db.cursor(dictionary=True)
if self.check_user_level(current_user) == 0:
query = """
SELECT Date, Type, SUM(Price * Quantity) AS TotalAmount
FROM ExpenseTable
WHERE UserID = %s
GROUP BY Date, Type;
"""
params = (current_user,)
else:
# 无 WHERE 条件 → 无需任何参数
query = """
SELECT Date, Type, SUM(Price * Quantity) AS TotalAmount
FROM ExpenseTable
GROUP BY Date, Type;
"""
params = () # 空元组，显式表明无参数
cursor.execute(query, params) # ✅ 参数与 SQL 完全匹配
results = cursor.fetchall()
cursor.close()
return results
except Exception as error:
# 建议：记录日志而非直接 raise 原始异常（生产环境）
import logging
logging.error(f"Failed to fetch expenses: {error}", exc_info=True)
raise RuntimeError("Unable to retrieve expense data") from error
✅ 关键要点总结：
-
参数必须严格匹配 SQL 中的占位符数量：有
%s才传值，无则传()；不可复用同一参数元组。 -
使用空元组
()而非None：cursor.execute()明确要求params为序列类型（tuple/list），None会引发TypeError。 - 避免字符串拼接 SQL：本方案仍坚持参数化查询，杜绝 SQL 注入风险。
-
增强健壮性：建议在
except块中添加结构化日志，并包装异常信息，便于调试与监控。
该模式适用于任何需条件化 SQL 结构的场景（如动态 ORDER BY、可选 JOIN 或多条件 WHERE），是 Python 数据库编程中的最佳实践之一。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
