Comment puis-je transmettre en toute sécurité un nom de table en tant que paramètre dans les requêtes SQL psycopg2 ?

Passer le nom de la table en paramètre dans psycopg2

Question :

Garantir une syntaxe SQL correcte est un défi lors de l'exécution de requêtes SQL utilisant des noms de table comme paramètres.

Solution :

module psycopg2.sql

Selon la documentation officielle, le module sql de psycopg2 fournit un moyen sûr de générer dynamiquement des requêtes SQL. Il introduit la syntaxe suivante :

<code>from psycopg2 import sql

cur.execute(sql.SQL("insert into {table} values (%s, %s)")
    .format(table=sql.Identifier('my_table')),
    [10, 20])</code>

Cette approche garantit une syntaxe SQL correcte et élimine le risque d'attaques par injection.

Remarque : La méthode AsIs ne doit pas être utilisée pour représenter des noms de tables ou de champs. Utilisez plutôt le module SQL.

Avertissement de sécurité :

Pycopg2 met fortement en garde contre l'utilisation de la concaténation de chaînes Python ou de l'interpolation de paramètres de chaîne pour transmettre des variables aux requêtes SQL et met en évidence les vulnérabilités de sécurité potentielles.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!