python добавляет E в строку

Не только E, но и кавычки, по-видимому, исходят из любого типа, который есть у пользователя и pw. %s просто делает то, что делает str(), что может вернуться к repr(), оба из которых имеют соответствующие методы __str__ и __repr__. Кроме того, это не тот код, который генерирует ваш результат (я предполагал, что это %, но теперь вижу только запятую). Пожалуйста, дополните свой вопрос фактическим кодом, типами и значениями.

Приложение: учитывая, что это похоже на SQL, рискну предположить, что вы видите экранирующие строковые константы, вероятно, должным образом сгенерированные вашим интерфейсным модулем базы данных или библиотекой.

Для передачи идентификаторов в postgresql через psycopg используйте AsIs из модуля extensions

from psycopg2.extensions import AsIs
import psycopg2
connection = psycopg2.connect(database='db', user='user')
cur = connection.cursor()
cur.mogrify(
    'CREATE USER %s PASSWORD %s', (AsIs('someuser'), AsIs('somepassword'))
    )
'CREATE USER someuser PASSWORD somepassword'

Это также работает для передачи условий в такие предложения, как order by:

cur.mogrify(
    'select * from t order by %s', (AsIs('some_column, another column desc'),)
    )
'select * from t order by some_column, another column desc'

Поскольку редактирование OP показывает, что он использует PostgreSQL, документы для него актуальны, и говорят:

Postgres Pro также поддерживает строковые константы escape, являющиеся расширением стандарта SQL. Константа управляющей строки указывается путем написания буквы E (верхний или нижний регистр) непосредственно перед открывающей одинарной кавычкой, например. Э'фу'.

Другими словами, psycopg правильно генерирует константы управляющих строк для ваших строк (так что, как говорится в документации:

В escape-строке символ обратной косой черты () начинает управляющую последовательность обратной косой черты в стиле C, в которой комбинация обратной косой черты и следующих за ней символов представляет собой специальное значение байта.

(которые, как это бывает, также являются соглашениями об уходе не-сырых строковых литералов Python).

Ошибка ОП явно не имеет к этому никакого отношения, и, помимо отличной идеи изучения отличной документации PostgreSQL, в данном случае ему не следует беспокоиться об этой форме E'...' ;-).

Прежде чем пытаться что-то вроде:

statement = "CREATE USER %s PASSWORD %s" % (user, pw)

Обязательно прочтите: http://www.initd.org/psycopg/docs/usage.html

В основном проблема заключается в том, что если вы принимаете пользовательский ввод (я предполагаю, что кто-то вводит пользователя и pw), вы, вероятно, оставляете себя открытым для SQL-инъекций.

Как утверждает PsyCopg2:

Warning Never, never, NEVER use Python string concatenation (+) or string parameters interpolation (%) to pass variables to a SQL query string. Not even at gunpoint.

Как было установлено, Postgres (или Psycopg2), похоже, не дает хорошего ответа на экранирование идентификаторов. На мой взгляд, лучший способ решить эту проблему — предоставить метод фильтрации «белого списка».

т. е.: Определите, какие символы разрешены в «user» и «pw». (возможно, A-Za-z0-9_). Будьте осторожны, чтобы не включать escape-символы (' или ; и т. д.), или, если вы их включаете, избегайте этих значений.