unrecognized tokenの解決方法

Question

実現したいこと

MQLで出ているunrecognized tokenエラーを解決したい

前提

Pythonのsqlite3を利用してデータベース操作の関数を実装しています。
機能全体で実現したいことは、データベースのUPDATE関数を作成し、関数の入力から合致したIDのデータを書き換える関数を実装したいです。
INSERTやDERETE、簡易的なview関数（該当するIDのデータを表示する関数）は作成できたのですが、UPDATEを実装した関数のみエラーが出てしまいます。
SQLに関しては初めて触っていて、SQL側で起こっているエラーなのかが全く検討つかずエラーを解決できません。
どなたか手を貸していただけると幸いです。よろしくお願いします。

teratail自体も初めて使っているので、情報などに不備があるとは思いますがその時は質問にも答えさせていただきますのでよろしくお願いいたします。

データベースの作成にDjangoを用いており、Djangoの圏外から別の.pyを用いてアクセスしている状況です。

発生している問題・エラーメッセージ

  File "/.../dev/AutoPost/AutoPost/../crawler/test.py", line 34, in <module>
    postdb.DB_update('001', data)
  File "/.../dev/AutoPost/crawler/postdb.py", line 24, in DB_update
    cursor.execute(sql)
  sqlite3.OperationalError: unrecognized token: "{"

該当のソースコード

# postdb.py データベース操作関連
import sqlite3
import pandas as pd

...

# 動作成功しているデータベースにデータを登録する関数
# id(str) : データベースでprimary_keyとして登録しているデータ
# content(str) : json形式で書かれたstrデータ

def DB_register(id, content):
  ins = (id, content)
  cursor.execute(f'''INSERT INTO {tablename} values(?,?)''', ins)


# 現在エラーが出ているデータベースの情報を更新する関数
# id(str) : データベースでprimary_keyとして登録しているデータ
# content(str) : json形式で書かれたstrデータ

def DB_update(id, content):
  sql = f'''
          UPDATE {tablename} 
             SET postContent = {content} 
           WHERE postID = {id}
        '''
  cursor.execute(sql)

...

dbname = ('../AutoPost/dataList.sqlite3')
tablename = 'APapp_PostData'
conn = sqlite3.connect(dbname, isolation_level=None)
cursor = conn.cursor()

# models.py Django内のファイル django > app > models.py
from django.db import models

...

class PostData(models.Model):
  postID = models.IntegerField(primary_key=True)
  postContent = models.TextField()

# test.py 動作テストに使用しているPythonファイル
import postdb
import userdb

data = '''{
  "sample1" : "test",
  "sample2" : {
    "sample3" : "test",
    "sample4" : "test"
  },
  "sample5" : "test",
  ...
}'''

postdb.DB_update('001', data)
postdb.DB_view()

試したこと

はじめに、変数dataの中身を変えてテストしながら開発していたのでjsonの文法を確認しましたが、正常でした。
次に、データベースを初期化し

postdb.DB_register('001', data)

を実行したところ正常に動作しました。

環境

Macbook Pro 2019
macOS Ventura 13.0.1

Python 3.9.6
Django 4.1.5
django.db.backends.sqlite3

Comments

[shirachin1015]

足りていなかったので追記します。
自分のわからないことは、「このエラーはどういう意味？」ではなくて、「どうしてINSERTが大丈夫でUPDATEでエラーが出るの？」です。

この疑問に対して検索はしたのですが、「python sqlite3」でのエラーの情報を得られませんでした。

[melian]

INSERT では parameterized query が使われていますが、UPDATE は「直書き」だからです。

[shirachin1015]

SQL文にはpythonのf文字列を使用して変数の使用を実装したつもりだったのですが、それもUPDATEだと使えないのですか？

[melian]

f-string と parameterized query は全くの別物なのです。それに、parameterized query を利用することで SQL injection を防ぐこともできますので、UPDATE でも parameterized query の利用をお勧めします。

Answer 1

皆さんご回答ありがとうございました。
質問側コメント欄でいただいた melian 様 のアドバイスにより、問題を解決することができました。
自己解決ではありませんが、解決済みにするため自己解決とさせていただきます。

melian 様のコメント

INSERT では parameterized query が使われていますが、UPDATE は「直書き」だからです。

このコメントをいただいた後、自分でいろいろ調べた結果このコメント通りUPDATEのSQLクエリ分にf文字列が適用できないことに気づき、実際に.format()などを試した結果、確かにpythonの文字列フォーマットが適用できていませんでした。
内部的な原因までは辿り着いていませんが、解決策を見つけることができたので回答募集を終了させていただきました。
具体的な解決策は、parameterized query などのワードを調べて辿り着いたこちらのサイトを参考にさせていただきました。

https://qiita.com/tep731/items/b8a4b40c3765f250fdd9

上記サイトを参考に、プログラムを次のように変更しました。

# 変更前
def DB_update(id, content):
  sql = f'''
          UPDATE {tablename} 
             SET postContent = {content} 
           WHERE postID = {id}
        '''
  cursor.execute(sql)

# 変更後
def DB_update(id, content):
  ins = {
    "id" : id,
    "content" : content
  }
  sql = '''
          UPDATE APapp_PostData 
             SET postContent = :content 
           WHERE postID = :id
        '''
  cursor.execute(sql, ins)

parameterized query を利用することで SQL injection を防ぐこともできますので、UPDATE でも parameterized query の利用をお勧めします。 (melian 様コメントより)

いただいたこちらのコメントにもあるようにセキュリティー面も考慮した結果、この方法をとった方が安全という事なので全ての関数にこのパラメータクエリを実装しました。

ご回答有難うございました。

Answer 2

詳しくはありませんが、エラーは変なところに「{」が入っていると言っていますので、

  sql = f'''
          UPDATE {tablename} 
             SET postContent = {content} 
           WHERE postID = {id}
        '''

ここで、入れている content、元は data のところがおかしいのでしょう。
data変数に入っているのはjson文字列のようですが、表示してみれば、このやりかたでは、そのまま{content}の部分に入ってしまいます。 「""」などで囲む必要があるのではないかと思います。

---

追記
tablenameが「APapp_PostData」で、idが「001」contentが「{ "sample1" : "test" }」だとすると、sqlはこうなります。

 UPDATE APapp_PostData
  SET postContent =  { "sample1" : "test" }
WHERE postID = 001

これは想定どおりでしょうか？ とうことです。

Comments

[shirachin]

このデータをそのままDB_registerに入れると正常に動作するのはなぜなのでしょう？

[TakaiY]

それは、その文字列がコマンドの一部ではなく、文字列として取り込まれているからです。
それを入れるとき、「''」で囲ったりしませんか？

ちょっと追記します。

[shirachin1015]

例えば、"{content}"としたら、contentの中身はデータベースに格納出来ないなとなってしまって詰んでしまった契機がありました。現時点では解決済みですが、その時は少しpython sqlite3 について勉強不足だったなと自覚しております。
遅くなりましたが、追記有難うございました。今回はmelian様の回答から解決する方が少し早くなってしまいベストアンサーに選ぶ事が出来ませんでしたが、また機会があればご回答いただけると嬉しいです。