pythonのsqliteで、sql文内の?文字の使い方

Question

pythonでsqliteを使用しております。

その際、sql文内で変数をしようしたいと考えているので、「？」を使っております
。

その使い方がわからずに質問させていただきます。

dbname = '〇〇〇〇'
conn = sqlite3.connect(dbname)
cur = conn.cursor()
sql = """
      UPDATE
          あ
      SET
          内容 = ?
      WHERE
          題名 = ?
      """
namelist = ("あいうえお", "阿")
cur.execute(sql, namelist)

このコードですと、目的通りにデータベースを上書きできます。

しかし、

dbname = '〇〇〇〇'
conn = sqlite3.connect(dbname)
cur = conn.cursor()
sql = """
      UPDATE
          ?
      SET
          内容 = ?
      WHERE
          題名 = ?
      """
namelist = ("あ", "あいうえお", "阿")
cur.execute(sql, namelist)

とすると、

sqlite3.OperationalError: near "?": syntax error

というエラーが出ます。

UPDATEの後の「？」の使い方がおかしいのだと予想できるのですが、何がおかしいのかわかりません。

もしわかる方がいらっしゃいましたら、どうぞよろしくお願いいたします。

Answer 1

プリペアドステートメントを「変数」として認識するのは危険です。
基本的に「SQLとしてエスケープを通す必要がある”値”」にのみ利用できます。

テーブル名やカラム名といった部分は値ではありません。

Comments

[hijiri]

御返事ありがとうございます。

そうなんですね、テーブル名には変数は利用できないのですね。
とても勉強になりました！
ありがとうございます。

Answer 2

Variable table name in sqliteによると、変数としてテーブル名を使うことはできないようです。

Comments

[hijiri]

御返事ありがとうございます。

テーブルに変数を使わなくていいように、データベースの構成を考え直してみます。