本文详解 Flask 应用中使用 psycopg2 向 PostgreSQL 插入情感分析结果时的常见错误与正确实践，重点解决因 SQL 注入风险和字符串拼接导致的 UndefinedColumn 错误，并提供参数化查询的标准写法。
本文详解 flask 应用中使用 psycopg2 向 postgresql 插入情感分析结果时的常见错误与正确实践，重点解决因 sql 注入风险和字符串拼接导致的 `undefinedcolumn` 错误，并提供参数化查询的标准写法。
在基于 Flask 的情感分析项目中，用户提交评论后，后端调用 Hugging Face Transformers 模型（如 pipeline("sentiment-analysis")）获取预测标签（如 "POSITIVE"）和置信度分数（如 0.987），再将原始文本、标签及分数持久化至 PostgreSQL。但若直接在 SQL 语句中拼接 Python 变量（如 (text,label,score)），PostgreSQL 会将其识别为列名而非值，从而抛出 psycopg2.errors.UndefinedColumn: column "text" does not exist —— 这正是原始代码的根本问题。
✅ 正确做法：始终使用参数化查询（parameterized query），由 psycopg2 自动处理类型转换、引号转义与 SQL 注入防护：
if request.method == 'POST':
text = request.form.get('user_comment')
result = model(text)[0] # 推荐先解包，增强可读性与健壮性
label = result['label']
score = result['score']
# ✅ 安全、标准的参数化插入
curr.execute("""
INSERT INTO message_sentiment (mytext, text_label, score)
VALUES (%s, %s, %s);
""", (text, label, score))
conn.commit() # 切勿遗漏！否则事务不生效⚠️ 关键注意事项：
- %s 是 psycopg2 的占位符（非 Python 字符串格式化），对应元组 (text, label, score) 中的每个值；
- 禁止使用 .format()、f-string 或字符串拼接构造 SQL，否则极易引发 SQL 注入漏洞；
- 务必调用 conn.commit()：psycopg2 默认启用事务，未提交则数据不会写入数据库；
- 表名与字段名（如 message_sentiment、mytext）可直接写在 SQL 中（它们是静态标识符），但所有用户输入或动态值必须通过 %s 参数传入；
- 建议为 message_sentiment 表添加主键（如 id SERIAL PRIMARY KEY）和时间戳字段（如 created_at TIMESTAMPTZ DEFAULT NOW()），便于后续分析与审计。
总结：SQL 注入不仅是安全红线，也是初学者最常见的运行时错误根源。坚持“静态结构写死，动态数据参数化”这一原则，既能规避 UndefinedColumn 等语法错误，又能筑牢应用安全防线。
