如何正确使用 MySQL 预处理语句更新数据库记录

本文详细拆解为什么直接拼接 SQL 字符串会导致 UPDATE 语句失效，并给出使用预处理语句安全、可靠更新数据库状态的标准方案。

代码执行了、消息也发送了，但数据库里的数据纹丝不动——这种问题在实战中并不少见。问题出在哪？核心原因在于 SQL 字符串拼接存在几个致命隐患：

1. 字符串值没加引号：比如 WHERE ord.telgramname = {tgname}，如果 tgname 是个字符串（例如 @user123），而你没有手动加上单引号，MySQL 会把它当成列名或未知标识符。结果就是 WHERE 条件永远不成立，匹配零行、更新零行。
2. SQL 注入风险：把用户输入直接往 SQL 里塞，这无异于给攻击者留了一扇门。
3. 类型不匹配与转义缺失：特殊字符（比如单引号、反斜杠）没做转义处理，轻则语法报错，重则静默失败，连个提示都没有。

那正确的做法是什么？一句话：用参数化查询，也就是预处理语句。让数据库驱动自动处理类型判断、转义和安全绑定，彻底告别手拼 SQL 的烦恼。

import mysql.connector

conn = mysql.connector.connect(
    host=HOSTNAME,
    user=USERNAME,
    passwd=PASSWORD,
    database=DATABASE
)
cursor = conn.cursor(prepared=True)  # 启用预处理模式

# 使用 %s 占位符，值通过元组安全传入
stmt = "UPDATE `ord` SET `Status` = %s WHERE `ord`.`telgramname` = %s"
cursor.execute(stmt, (newstatus, tgname))

# ⚠️ 关键：必须显式调用 commit() 才能持久化变更
conn.commit()
cursor.close()
conn.close()
bot.send_message(message.chat.id, 'Статус обновлен')

这个方案不仅解决了更新失效的问题，还从底层提升了代码的健壮性和安全性。不过，有几个细节值得特别注意：

• ✅ 执行后立即检查 cursor.rowcount，验证实际影响的行数：

  cursor.execute(stmt, (newstatus, tgname))
  if cursor.rowcount == 0:
      bot.send_message(message.chat.id, '⚠️ Не найдена запись с таким telgramname')

• ✅ 确保 tgname 和 newstatus 变量在执行前已经正确定义，并且非空。
• ✅ 如果 telgramname 字段在数据库中是 VARCHAR 类型，预处理语句会自动帮你加引号，完全不需要手动处理。
• ✅ 生产环境建议启用连接池、异常捕获与资源清理，推荐使用 with 语句或 try/finally 结构。
• ❌ 别再碰 f-string 或 .format() 拼接 SQL 的老路子了。

说到底，使用预处理语句已经成了 Python 操作 MySQL 的标准实践，也是 PEP 249 数据库 API 规范明确倡导的方式。遵循它，既能避免踩坑，也能让代码更经得起推敲。