插入可变数量的列时正确格式化 SQL 查询

Question

我正在使用psycopg2与PostgreSQL数据库进行交互。 我有一个函数，可以将表中的任意数量的列（从单列到所有列）插入到其中。 我的问题是：如何正确地、动态地构造这个查询？

目前我正在使用字符串格式和连接，我知道这绝对是最糟糕的方法。 考虑下面的代码，在这种情况下，我未知的列数（即dict中的键实际上是 2）：

dictOfUnknownLength = {'key1': 3, 'key2': 'myString'}

def createMyQuery(user_ids, dictOfUnknownLength):
    fields, values = list(), list()

    for key, val in dictOfUnknownLength.items():
        fields.append(key)
        values.append(val)

    fields = str(fields).replace('[', '(').replace(']', ')').replace("'", "")
    values = str(values).replace('[', '(').replace(']', ')')

    query = f"INSERT INTO myTable {fields} VALUES {values} RETURNING someValue;"

query = INSERT INTO myTable (key1, key2) VALUES (3, 'myString') RETURNING someValue;

这提供了格式正确的查询，但当然容易发生 SQL 注入等问题，因此，不是实现我的目标的可接受方法。

在其他查询中，我在处理已知数量的变量（ %s和包含变量的.execute()单独参数.execute()时使用推荐的查询构造方法，但我不确定如何调整它以适应未知数量的变量而没有使用字符串格式。

如何优雅且安全地构造具有未知数量的指定插入列的查询？

Answer 1

更令人担忧的是，当前使用.replace()方法容易出现字段或值包含[ 、 ]或'边缘情况。 无论如何，它们都会被替换，并且可能会弄乱您的查询。

您始终可以使用.join()来加入列表中可变数量的值。 最重要的是，在VALUES后使用%s适当地格式化查询，并将您的参数传递给.execute() 。

注意：您可能还需要考虑字段数不等于数值的情况。

import psycopg2


conn = psycopg2.connect("dbname=test user=postgres")
cur = conn.cursor()

dictOfUnknownLength = {'key1': 3, 'key2': 'myString'}


def createMyQuery(user_ids, dictOfUnknownLength):
    # Directly assign keys/values.
    fields, values = list(dictOfUnknownLength.keys()), list(dictOfUnknownLength.values())

    if len(fields) != len(values):
        # Raise an error? SQL won't work in this case anyways...
        pass

    # Stringify the fields and values.
    fieldsParam = ','.join(fields) # "key1, key2"
    valuesParam = ','.join(['%s']*len(values))) # "%s, %s"

    # "INSERT ... (key1, key2) VALUES (%s, %s) ..."
    query = 'INSERT INTO myTable ({}) VALUES ({}) RETURNING someValue;'.format(fieldsParam, valuesParam)

    # .execute('INSERT ... (key1, key2) VALUES (%s, %s) ...', [3, 'myString'])
    cur.execute(query, values) # Anti-SQL-injection: pass placeholder
                               # values as second argument.