如何为LuaSQL引用值？

Question

LuaSQL，它似乎是 Lua 中大多数 SQL 数据库系统的规范库，但似乎并不存在具有在查询中引用/转义值的任何设施。 我正在编写一个使用 SQLite 作为后端的应用程序，并且我希望使用 Python 的 DB-API：

c.execute('select * from stocks where symbol=?', t)

但我什至会选择更愚蠢的东西，比如：

conn:execute("select * from stocks where symbol=" + luasql.sqlite.quote(t))

还有其他支持 SQLite 引用的 Lua 库吗？ （LuaSQLite3 似乎没有。）或者我是否遗漏了有关 LuaSQL 的某些内容？ 我担心滚动我自己的解决方案（使用正则表达式或其他东西）并出错。 我应该为 sqlite3_snprintf 编写一个包装吗？

Answer 1

我有一段时间没看过 LuaSQL 但上次我检查它不支持它。 我使用Lua-Sqlite3。

require("sqlite3")

db = sqlite3.open_memory()

db:exec[[ CREATE TABLE tbl( first_name TEXT, last_name TEXT ); ]]

stmt = db:prepare[[ INSERT INTO tbl(first_name, last_name) VALUES(:first_name, :last_name) ]]

stmt:bind({first_name="hawkeye", last_name="pierce"}):exec()
stmt:bind({first_name="henry", last_name="blake"}):exec()

for r in db:rows("SELECT * FROM tbl") do
    print(r.first_name,r.last_name)
end

Answer 2

LuaSQLite3 以及任何其他到 SQLite 的低级绑定都提供带有可变参数的准备好的语句； 它们使用方法将值绑定到语句参数。 由于 SQLite 不解释绑定值，因此根本不可能发生 SQL 注入。 这是迄今为止最安全（且性能最佳）的方法。

uroc 显示了将绑定方法与准备好的语句一起使用的示例。

Answer 3

顺便说一句，在 Lua SQL 中，conn:escape 中有一个用于 sqlite3 驱动程序的未记录的转义函数，其中 conn 是一个连接变量。

例如，代码的

print ("con:escape works. test'test = "..con:escape("test'test"))

结果是：

con:escape works. test'test = test''test

我实际上尝试了看看它会做什么。 显然他们的 postgres 驱动程序也有这样的功能。 我通过查看他们的测试发现了这一点。

希望这可以帮助。