SQLite "IN" खंड

Question

के लिए पैरामीटर प्रतिस्थापन मैं एक IN खंड के लिए SQLite within Python के साथ पैरामीटर प्रतिस्थापन का उपयोग करने का प्रयास कर रहा हूं।

import sqlite3 

c = sqlite3.connect(":memory:") 
c.execute('CREATE TABLE distro (id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT)') 

for name in 'Ubuntu Fedora Puppy DSL SuSE'.split(): 
    c.execute('INSERT INTO distro (name) VALUES (?)', [ name ]) 

desired_ids = ["1", "2", "5", "47"] 
result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % (", ".join(desired_ids)),()) 
for result in result_set: 
    print result 

यह पता प्रिंट:

(1, u'Ubuntu') (2, u'Fedora') (5, u'SuSE')

डॉक्स राज्य के रूप में है कि "[y] कहां अजगर की स्ट्रिंग आपरेशन का उपयोग करते हुए, क्योंकि ऐसा करने आपकी क्वेरी को इकट्ठा नहीं करना चाहिए यहां एक संपूर्ण चल उदाहरण है कि यह दर्शाता है है असुरक्षित है; यह आपके प्रोग्राम को एसक्यूएल इंजेक्शन हमले के लिए कमजोर बनाता है, "मैं पैरामीटर प्रतिस्थापन का उपयोग करने की उम्मीद कर रहा हूं।

जब मैं कोशिश:

result_set = c.execute('SELECT * FROM distro WHERE id IN (?)', [ (", ".join(desired_ids)) ]) 

मैं एक खाली परिणाम सेट मिलता है, और जब मैं कोशिश:

result_set = c.execute('SELECT * FROM distro WHERE id IN (?)', [ desired_ids ]) 

मैं:

InterfaceError: Error binding parameter 0 - probably unsupported type.

मैं किसी भी जवाब है कि आशा है कि एक ओर जहां इस सरलीकृत समस्या के लिए काम करेगा, मैं यह इंगित करना चाहता हूं कि वास्तविक क्वेरी जो मैं करना चाहता हूं वह दोगुनी-नेस्टेड सबक्वायरी में है। बुद्धि के लिए:

UPDATE dir_x_user SET user_revision = user_attempted_revision 
WHERE user_id IN 
    (SELECT user_id FROM 
     (SELECT user_id, MAX(revision) FROM users WHERE obfuscated_name IN 
      ("Argl883", "Manf496", "Mook657") GROUP BY user_id 
     ) 
    ) 

Answer 1

आप ? रों की सही संख्या की आवश्यकता है, लेकिन यह एक एसक्यूएल इंजेक्शन खतरा पैदा नहीं करता है:

>>> result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % 
          ','.join('?'*len(desired_ids)), desired_ids) 
>>> print result_set.fetchall() 
[(1, u'Ubuntu'), (2, u'Fedora'), (5, u'SuSE')] 

Answer 2

अपडेट: इस काम करता है:

import sqlite3 

c = sqlite3.connect(":memory:") 
c.execute('CREATE TABLE distro (id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT)') 

for name in 'Ubuntu Fedora Puppy DSL SuSE'.split(): 
    c.execute('INSERT INTO distro (name) VALUES (?)', (name,)) 

desired_ids = ["1", "2", "5", "47"] 
result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % ("?," * len(desired_ids))[:-1], desired_ids) 
for result in result_set: 
    print result 

मुद्दा यह है कि यदि आपके पास यह करने की जरूरत थी? इनपुट सूची में प्रत्येक तत्व के लिए।

कथन ("?," * len(desired_ids))[:-1] "?," की दोहराने वाली स्ट्रिंग बनाता है, फिर अंतिम कॉमा को काट देता है। ताकि वांछित_आईड्स में प्रत्येक तत्व के लिए एक प्रश्न चिह्न हो।

Answer 3

मैं हमेशा कुछ इस तरह कर रही अंत:

query = 'SELECT * FROM distro WHERE id IN (%s)' % ','.join('?' for i in desired_ids) 
c.execute(query, desired_ids) 

कोई है इंजेक्शन जोखिम क्योंकि आप वांछित_आईड्स से सीधे क्वेरी में स्ट्रिंग नहीं डाल रहे हैं।

Answer 4

यदि एसक्लाइट एसक्यूएल अनुरोध की लंबाई के साथ समस्या है, तो अनिश्चित संख्या में प्रश्न चिह्न बीक चीजों के लिए किसी तरह का तरीका हो सकता है।

Answer 5

http://www.sqlite.org/limits.html (आइटम 9) के अनुसार, SQLite (डिफ़ॉल्ट रूप से) क्वेरी के 999 पैरामीटर से अधिक संभाल नहीं सकता है, इसलिए यहां समाधान (प्लेसहोल्डर की आवश्यक सूची उत्पन्न करना) विफल हो जाएगा यदि आपके पास हजारों आइटम हैं आप IN देख रहे हैं। यदि ऐसा है, तो आपको सूची को तोड़ने की आवश्यकता होगी, इसके बाद इसके हिस्सों पर लूप करें और परिणामों को स्वयं शामिल करें।

यदि आपको अपने IN खंड में हजारों आइटमों की आवश्यकता नहीं है, तो एलेक्स का समाधान ऐसा करने का तरीका है (और ऐसा लगता है कि Django यह कैसे करता है)।