🚀 go-pugleaf

Użytkownik "królewna" <krolewna@ee.pl> napisał w wiadomości 
news:hi1l9s$3et$1@achot.icm.edu.pl...
> Dzięki kochani, jak zawsze można na Was liczyć. Możecie mi jeszcze 
> powiedzieć czemu nazwa tabeli nie powinna być przekazywana jako parametr 
> jeśli źródło pochodzenia jej nazwy jest zaufane? Bo rozumiem, że to ze 
> względów bezpieczeństwa (aby przypadkiem ktoś nie odczytał sobie danych z 
> innej tabeli niż powinien). Czy może jeszcze jakiś inny aspekt, o którym 
> nie wiem?


Idźmy krok dalej i zadajmy sobie pytanie, dlaczego słowa kluczowe nie 
miałyby byc parametryzowane, np.;

polecenie = 'INSERT INTO'
cur.execute("""%s %s (10, %%s, 3)""" % (polecenia, nazwa_tabeli, (pick,))

Dochodzimy w tym miejscu do absurdu, gdzie "przygotowanie" zapytania nic nie 
daje bo wszystko jest dynamiczne. A tu chodzi o rozdzielenie polecenia SQL 
(którego część stanowią nazwy tabel i kolumn) i danych. Ta logika doskonale 
wyznacza też zakres poprawności posługiwania się SQLem. Jeśli mamy potrzebę 
zmieniania nazw kolumn w pewnym punkcie programu, to znak, że mamy źle 
wymyśloną bazę, lub piszemy ORMa a nie aplikację bazodanową.

Co więcej, w przypadku polecenia INSERT, pełna składnia execute to:

data = [
    ( 'first bar', 'first other' ),
    ( second bar', 'second other' ),
]
cur.execute("""INSERT INTO table_foo (column_bar, column_other) VALUES (%s, 
%s)""", data )

Czyli motor bazy danych przygotowuje się jeden raz do operacji wstawiania, 
tworzy na ten cel jakiś bufor, uruchamia triggery BEFORE itd. po czym 
otrzymuje od klienta paczkę danych i wszystkie wstawia. Gdyby nazwa kolumny 
lub tabeli mogła być tu dynamiczna, efekt "masowości" INSERTA lub UPDATE 
diabli by wzieli.