Bagaimana untuk Lulus Parameter dengan Selamat dan Berkesan dalam `connection.execute()` SQLAlchemy?

Lulus Parameter Secara Berkesan dalam sambungan SQLAlchemy.execute

Dalam SQLAlchemy, kaedah connection.execute() membenarkan pengguna melaksanakan pernyataan SQL dan mendapatkan semula hasil dengan cekap. Walau bagaimanapun, apabila ia datang untuk menghantar parameter kepada pernyataan SQL, adalah penting untuk melakukannya dengan selamat dan berkesan.

Memahami Isu

Seperti yang telah anda nyatakan, anda sedang menggunakan pemformatan SQL untuk menghantar parameter kepada rentetan SQL anda, yang melibatkan penggunaan kaedah format() pada pernyataan SQL. Walaupun kaedah ini mungkin mudah, ia bukan amalan terbaik dan boleh membawa kepada kelemahan suntikan SQL. Sebaliknya, SQLAlchemy menyediakan beberapa mekanisme untuk menghantar parameter dengan selamat dan berkesan kepada pernyataan SQL.

Penyelesaian Menggunakan SQL Tekstual

Satu pendekatan yang disyorkan ialah menggunakan SQLAlchemy.sql.text () berfungsi untuk mencipta objek pernyataan SQL tekstual. Objek ini menyediakan sokongan untuk parameter ikatan dan boleh membantu mencegah serangan suntikan SQL. Berikut ialah contoh:

from sqlalchemy.sql import text
sql = text("SELECT * FROM users WHERE name = :name")

Anda kemudiannya boleh menggunakan kaedah execute() dengan objek SQL tekstual yang terhasil dan nyatakan nilai parameter menggunakan hujah kata kunci:

connection.execute(sql, {"name": "John"})

Penyelesaian Menggunakan Fungsi Berparameter

Pendekatan lain ialah mencipta fungsi berparameter menggunakan fungsi sqlalchemy.sql.expression.bindparam(). Fungsi ini membolehkan anda membuat ruang letak untuk nilai parameter yang anda boleh masukkan kemudian:

from sqlalchemy.sql.expression import bindparam
params = [
    bindparam("name", type_=String),
    bindparam("age", type_=Integer)
]

sql = sqlalchemy.text("SELECT * FROM users WHERE name = :name AND age = :age")
connection.execute(sql, {"name": "John", "age": 30})

Melalui Parameter ke Fungsi Tersuai Anda

Untuk menyesuaikan __sql_to_data() anda berfungsi untuk menerima parameter, anda boleh menggunakan kamus untuk menyimpan nilai parameter:

def __sql_to_data(sql, params):
    connection = engine.connect()
    try:
        rows = connection.execute(sql, params)
        # ... (Remaining code)
    finally:
        connection.close()

Anda kemudian boleh menggunakan fungsi ini dengan kamus nilai parameter, seperti:

data = {"user_id": 3}
__sql_to_data(sql_get_profile, data)

Kesimpulan

Dengan menggunakan pendekatan yang disyorkan, anda boleh lulus parameter dengan selamat dan berkesan kepada pernyataan SQL dalam SQLAlchemy, meningkatkan keselamatan dan kebolehselenggaraan aplikasi pangkalan data anda.

Atas ialah kandungan terperinci Bagaimana untuk Lulus Parameter dengan Selamat dan Berkesan dalam `connection.execute()` SQLAlchemy?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!