🚀 go-pugleaf

On 05.01.2010, Jacek Czerwinski <x@y.z.pl> wrote:
>>>>>> pick = pickle.dumps("alamakota")
>>>>>> cur.execute("INSERT INTO test VALUES(10, %s, 3);", (pick,))
>>>>> A gdybym chciała zrobić coś w stylu:
>>>>> cur.execute("INSERT INTO %s VALUES(10, %s, 3);", (nazwa_tabeli,pick))
>>>>> to ten sposób znowu zawodzi i pojawia się błąd podobny do poprzedniego. 
>>>> cur.execute("""INSERT INTO %s VALUES(10, %%s, 3)""" % nazwa_tabeli, (pick,))
>>>> nie zadziała?
>>> Na dwoje babka wróżyła. W surowych SQL-ach odpowiednik czyli podać 
>>> argumenty i prepare bywa zakazane (podobno ze względu na niewykonalnośc 
>>> prepare). Ale tak sobie gadam.
>> Nie rozumiem o co chodzi w powyższej wypowiedzi (nie piłem jeszcze kawy), 
> Zasłyszane, stare, nie będę się upierał, i w ogóle skleroza, ale jakoby 
> W TYM MIEJSCU (tj nazwy tabeli) nie można było parametryzować.
Hmmm? Chyba chodzi Ci o to, że nie powinno się robić czegoś takiego:

cur.execute("""INSERT INTO blah(foo, bar) VALUES('%s', %s)""" % (Str, Int))

ale my tu tego nie robimy. Dane do wstawienia przekazywane są do
metody cur.execute(), a nie podstawiane. Podstawieniu ulega jedynie
nazwa tabeli, której nie idzie inaczej wstawić, gdyż po przekazaniu
metoda uzna nazwę tabeli za string i zamknie ją w ciapkach.
Pomijając już dyskusyjność pomysłu parametryzowania nazw tabel,
trzeba pamiętać aby w zmiennej "nazwa_tabeli" nie wylądowały np.
jakieś średniki. Odpowiednim przygotowaniem zwartości zmiennej
może się zająć funkcja, która wszelkie drażliwe znaki usunie, lub
zastąpi innymi (bądź sekwencjami). Nadal jest to jednak zły pomysł.
Nazwy tabel powinny w zapytaniach SQL być zawsze podawane jawnie.
Jeśli nazwa tabeli jest brana z zewnętrznego źródła (np. z danych
od użytkownika), to powinno się poważnie przemyśleć to co się robi
i jak najszybciej to zmienić. Jeśli natomiast robi się to z czystego
lenistwa ("nie chce mi się zmieniać fafdziesięciu zapytań SQL jak
zmieni się nazwa tabeli"), to powinno się poczytać dokumentację
swojego IDE lub programu sed.
Inne przypadki jakoś mi nie przychodzą na myśl, ale mam zbyt dużą
zawartość krwi w kofeinie.


Pozdrawiam
Beorn

-- 
Daniel 'Beorn' Mróz <beorn@alpha.pl>    http://127.0.0.1/beorn
[GIT d s:- a-@ C++++ UL++++$ P+ L++++ E--- W+ N+++ o? K- w---]
[O- M- V!  PS+ PE++ Y+ PGP++ t- 5  X R !tv b+ DI D++ G++ e h*]
[                          r++  y+                           ]