Python MySQLdb 执行 SQL 语句时的参数传递（%s）与 TaoToken 配置避坑指南

1. 从一次线上查询翻车说起%s 到底该怎么传Python 里用 MySQLdb 执行 SQL最容易踩的坑不是连接不上数据库而是%s这个占位符到底该怎么传参。我见过太多代码写成sql select * from orange where id%s % orange_id本地跑得好好的一上生产遇到带引号、带百分号、带反斜杠的数据就直接报错甚至被人塞进一段恶意 SQL 把整张表拖走。这篇聚焦的就是这个场景你用 MySQLdb 写参数化查询%s报TypeError、not enough arguments、unsupported format character或者查询结果莫名其妙不对。同时我会把 TaoToken 的统一 Key/API 通道配置一起讲清楚因为很多同学在调数据库的同时还要接大模型做 SQL 生成、日志分析两边的配置混在一起排查起来更乱。适合谁看正在用 Python MySQLdb 做数据查询的后端、运维、数据开发刚接触参数化查询、分不清 Python 字符串格式化和 DB-API 占位符区别的新手以及想把数据库查询和大模型调用统一到一套 Key 管理下的开发者。读完你能拿到可直接复制的参数化写法、settings.json 骨架配置以及一套验证请求是否成功的动作。先说结论%s是 DB-API 的占位符不是 Python 的字符串格式化符号。它必须交给cursor.execute(sql, params)去解析绝不能自己用%拼进去。这个认知差就是 90% 报错的根源。2. 为什么 %s 不能自己拼两种写法的本质区别2.1 第一种写法Python 解释器先替换import MySQLdb conn MySQLdb.connect( userroot, passwd123456, host192.168.101.23, dbcmdb ) orange_id 98 sql select * from orange where id%s % orange_id cursor conn.cursor() cursor.execute(sql)这里%s是被 Python 的字符串格式化吃掉的orange_id直接变成字符串拼进 SQL。问题在于如果orange_id是字符串yellow拼出来就是where idyellowSQL 语法直接崩如果内容是1 or 11拼出来就是where id1 or 11全表泄露。这就是注入的入口。2.2 第二种写法交给 execute 解析color yellow sql select * from orange where color %s cursor.execute(sql, color)注意这里%s没有引号color作为第二个参数传给execute。MySQLdb 内部会根据字段类型把参数转义成合适的形式字符串自动加引号并转义特殊字符数字保持原样。安全性由驱动层保证你不需要手动处理引号。2.3 关键差异对照维度%手动拼接execute(sql, params)解析方Python 解释器MySQLdb 驱动字符串引号需自己加易漏自动处理特殊字符易解析失败自动转义注入风险高低类型适配全靠手写按类型转换推荐度不推荐推荐注意%s无论对应字符串、数字还是日期占位符都写%s不要写成%d或%s。加了引号反而会让驱动把它当成字面量参数传不进去。2.4 字典传参参数多时的清晰写法sql select * from orange where color %(color)s and weight %(weight)s values {color: yellow, weight: 30} cursor.execute(sql, values)参数一多位置传参很容易对错顺序字典用名字对应可读性和正确率都更高。命名占位符的写法是%(name)s注意括号和结尾的s都不能少。3. TaoToken 前置统一 Key 与 settings.json 骨架很多同学一边调 MySQLdb一边还要接大模型做 SQL 辅助生成或结果解读Key 散落在各处换环境就漏配。TaoToken 提供统一的 API 通道把模型调用收敛到一套 Key 上配置集中管理。先拿到你的 Key访问 API Keys 管理页 创建然后按下面骨架写进settings.json。注意 API 地址用https://taotoken.net/api不要带多余参数。{ taotoken: { api_base: https://taotoken.net/api, api_key: sk-你的Key, default_model: claude-sonnet-4-5, timeout: 60, max_retries: 2 }, database: { host: 192.168.101.23, user: root, passwd: 123456, db: cmdb, charset: utf8mb4 } }读取配置的代码import json with open(settings.json, r, encodingutf-8) as f: cfg json.load(f) api_base cfg[taotoken][api_base] api_key cfg[taotoken][api_key] db_cfg cfg[database]提示charset一定要设成utf8mb4否则中文和 emoji 写入会报Incorrect string value这个错经常被误判成参数传递问题。如果你要做长期编码或 Agent 类任务可以看 Coding Plan把额度集中管理避免每次调试都临时找 Key。4. 可复制配置参数化查询完整示例4.1 单参数与多参数import MySQLdb conn MySQLdb.connect(**db_cfg) cursor conn.cursor() # 单参数 cursor.execute(select * from orange where color %s, (yellow,)) rows cursor.fetchall() # 多参数位置对应 cursor.execute( select * from orange where color %s and weight %s, (yellow, 30) ) rows cursor.fetchall()注意单参数时也要写成元组(yellow,)那个逗号不能省否则会被当成字符串逐字符拆开报not enough arguments。4.2 字典传参sql select id, color, weight from orange where color %(color)s and weight between %(low)s and %(high)s params {color: yellow, low: 10, high: 50} cursor.execute(sql, params)4.3 IN 查询的正确姿势IN不能直接写%s传列表要动态生成占位符ids [1, 2, 3, 98] placeholders ,.join([%s] * len(ids)) sql fselect * from orange where id in ({placeholders}) cursor.execute(sql, ids)这里f-string只拼接占位符个数不拼数据数据仍由execute传安全。4.4 批量插入data [(yellow, 30), (red, 12), (blue, 45)] cursor.executemany( insert into orange (color, weight) values (%s, %s), data ) conn.commit()executemany的第二个参数是列表每个元素对应一行占位符数量要和每行字段数一致。5. 验证请求与成功结果5.1 验证数据库查询cursor.execute(select count(*) from orange where color %s, (yellow,)) print(命中行数:, cursor.fetchone()[0])正常输出一个整数说明参数传递和连接都通了。如果报错先看错误类型再定位。5.2 验证 TaoToken 通道import requests resp requests.post( f{api_base}/v1/messages, headers{ Authorization: fBearer {api_key}, Content-Type: application/json }, json{ model: cfg[taotoken][default_model], max_tokens: 128, messages: [{role: user, content: 用一句话说明参数化查询的好处}] }, timeoutcfg[taotoken][timeout] ) print(resp.status_code) print(resp.json())返回 200 且 body 里有内容说明 Key 和通道都正常。想直接在网页里试模型可以打开 模型对话 快速验证。5.3 期望结果对照检查项成功表现失败表现数据库查询返回行数/记录抛异常或空结果单参数元组正常命中not enough arguments字典传参按名对应KeyErrorTaoToken 调用HTTP 200401/403/超时6. 本篇常见错排查6.1 TypeError: not enough arguments for format string原因SQL 里%s个数和参数个数不匹配或者单参数没写成元组。检查execute第二个参数单值加逗号多值数量对齐。6.2 unsupported format character原因SQL 里出现了%但不是占位符比如like %abc%。解决把字面量百分号写成%%或者改用参数传like的值。cursor.execute(select * from orange where color like %s, (%yellow%,))6.3 查询结果为空但数据存在原因参数类型不对比如数字字段传了字符串或者charset不是utf8mb4导致中文匹配失败。先打印实际执行的 SQL 和参数再核对字段类型。6.4 401 UnauthorizedTaoToken原因Key 写错、过期或Authorization头格式不对。确认是Bearer sk-xxx中间一个空格。重新在 API Keys 生成后替换。6.5 连接超时或断连原因timeout设太短或长时间空闲被服务端断开。加max_retries重试并在使用前conn.ping(True)保活。conn.ping(True)6.6 中文乱码原因连接未指定charset或表本身不是utf8mb4。连接参数补上charsetutf8mb4建表也统一字符集。排查顺序建议先确认报错类型再核对占位符与参数数量最后检查字符集和 Key 配置。接入细节可以对照 接入文档里面有完整的请求示例和字段说明。把%s交给execute把 Key 收进settings.json这两件事做对参数传递和通道配置的坑基本就绕过去了。