Sparametryzowane zapytania za pomocą psycopg2/Python DB-API i PostgreSQL

Question

Jaki jest najlepszy sposób, aby psycopg2 przekazał sparametryzowane zapytania do PostgreSQL? Nie chcę pisać własnych mechanizmów ani adapterów, a kod źródłowy psycopg2 i przykłady są trudne do odczytania w przeglądarce internetowej.

Jeśli potrzebuję przejść na coś takiego jak PyGreSQL lub inny adapter python pg, to jest w porządku ze mną. Chcę tylko prostej parametryzacji.

Answer 1

psycopg2 podlega zasadom dotyczącym interfejsu DB-API 2.0 (zawartego w PEP-249). Oznacza to, że możesz wywołać metodę execute z obiektu cursor i użyć stylu powiązania pyformat, a zrobi to dla ciebie. Na przykład, następujący powinny być bezpieczne (i praca):

cursor.execute("SELECT * FROM student WHERE last_name = %(lname)s", 
       {"lname": "Robert'); DROP TABLE students;--"}) 

Answer 2

Oto kilka przykładów można znaleźć pomocne

cursor.execute('SELECT * from table where id = %(some_id)d', {'some_id': 1234}) 

Albo można dynamicznie budować zapytanie oparte na dict nazwy pola, wartość:

fields = ', '.join(my_dict.keys()) 
values = ', '.join(['%%(%s)s' % x for x in my_dict]) 
query = 'INSERT INTO some_table (%s) VALUES (%s)' % (fields, values) 
cursor.execute(query, my_dict) 

Uwaga: pola muszą być zdefiniowane w twoim kodzie, nie dane wejściowe użytkownika, w przeciwnym razie będziesz podatny na iniekcję SQL.

Answer 3

Z psycopg dokumentacji

(http://initd.org/psycopg/docs/usage.html)

Ostrzeżenie Nigdy, nigdy, nigdy nie używać Pythona ciąg konkatenacja (+) lub interpolacja parametrów ciągów znaków (%) w celu przekazania zmiennych do ciągu zapytań SQL. Nawet na muszce.

Prawidłowy sposób przekazać zmienne w poleceniu SQL używa drugiego argumentu metody execute():

SQL = "INSERT INTO authors (name) VALUES (%s);" # Note: no quotes

data = ("O'Reilly",)

cur.execute(SQL, data) # Note: no % operator