本文详解为何直接拼接 sql 字符串会导致 update 失败，并指导你安全、可靠地使用预处理语句完成数据库状态更新。
本文详解为何直接拼接 sql 字符串会导致 update 失败，并指导你安全、可靠地使用预处理语句完成数据库状态更新。
在你的原始代码中，UPDATE 语句看似执行成功（无报错、消息正常发送），但数据库并未实际更新，根本原因在于 SQL 字符串拼接存在严重隐患：
- 字符串值未加引号：WHERE ord.telgramname = {tgname} 中，若 tgname 是字符串（如 '@user123'），而你未手动添加单引号，MySQL 会将其识别为列名或未知标识符，导致 WHERE 条件恒为假，从而零行匹配、零行更新；
- SQL 注入风险：拼接用户输入（如 tgname 或 newstatus）极易引发注入攻击，威胁数据安全；
- 类型不匹配与转义缺失：特殊字符（如单引号、反斜杠）未转义，可能破坏 SQL 语法，使语句静默失败。
✅ 正确做法是使用 参数化查询（预处理语句），由驱动自动处理类型、转义与安全绑定：
import mysql.connector
conn = mysql.connector.connect(
host=HOSTNAME,
user=USERNAME,
passwd=PASSWORD,
database=DATABASE
)
cursor = conn.cursor(prepared=True) # 启用预处理模式
# 使用 %s 占位符，值通过元组安全传入
stmt = "UPDATE `ord` SET `Status` = %s WHERE `ord`.`telgramname` = %s"
cursor.execute(stmt, (newstatus, tgname))
# ⚠️ 关键：必须显式调用 commit() 才能持久化变更
conn.commit()
cursor.close()
conn.close()
bot.send_message(message.chat.id, 'Статус обновлен')? 重要注意事项：
- ✅ 始终检查 cursor.rowcount —— 执行后立即验证影响行数：
cursor.execute(stmt, (newstatus, tgname)) if cursor.rowcount == 0: bot.send_message(message.chat.id, '⚠️ Не найдена запись с таким telgramname') - ✅ 确保 tgname 和 newstatus 变量在执行前已正确定义且非空；
- ✅ 若 telgramname 字段在数据库中为 VARCHAR 类型，预处理语句会自动加引号，无需手动处理；
- ✅ 生产环境务必启用连接池、异常捕获与资源清理（推荐 with 语句或 try/finally）；
- ❌ 切勿再使用 f-string 或 .format() 拼接 SQL。
采用预处理语句不仅解决更新失效问题，更从根本上提升代码健壮性与安全性。这是 Python 操作 MySQL 的标准实践，也是 PEP 249 数据库 API 规范所倡导的方式。
