Django：传递多个参数的 RawQuerySet 问题

Question

我使用了这个问题的答案：

Django：制作原始 SQL 查询，传递多个/重复参数？

但有一些问题。

我有 params:

params = {'film_id_string': 'core_film.parent_id', 'tags_params': 'comedy', 'order_by': 'core_film.title', 'content_type': '18', 'language_code': 'en'}

对于 SQL 查询：

query = 'SELECT DISTINCT "core_object".*, "core_film".*  FROM "core_film"  INNER JOIN "core_object" ON ("core_film"."parent_id" = "core_object"."id")  LEFT OUTER JOIN "core_objectlocalized" ON ("core_objectlocalized"."parent_id" = %(film_id_string)s) LEFT OUTER JOIN "tagging_taggeditem" ON ("tagging_taggeditem"."object_id" = "core_objectlocalized"."id") LEFT OUTER JOIN "tagging_tag" ON ("tagging_tag"."id" = "tagging_taggeditem"."tag_id")  WHERE  "tagging_tag"."name" IN (%(tags_params)s) AND "core_objectlocalized"."LANG"=%(language_code)s AND content_type_id=%(content_type)s ORDER BY %(order_by)s'

当我尝试使用 RawQuerySet 时，

films = Film.objects.raw(query, params)

我得到：

SELECT DISTINCT "core_object".*, "core_film".*
FROM "core_film"
INNER JOIN "core_object" ON ("core_film"."parent_id" = "core_object"."id")
LEFT OUTER JOIN "core_objectlocalized" ON ("core_objectlocalized"."parent_id" = E\'core_film.parent_id\')
LEFT OUTER JOIN "tagging_taggeditem" ON ("tagging_taggeditem"."object_id" = "core_objectlocalized"."id")
LEFT OUTER JOIN "tagging_tag" ON ("tagging_tag"."id" = "tagging_taggeditem"."tag_id")
WHERE "tagging_tag"."name" IN (E\'comedy\')
  AND "core_objectlocalized"."LANG"=E\'en\'
  AND content_type_id=E\'18\'
ORDER BY E\'core_film.title\'

问题是，每个带有 'E\' 的地方都会生成与此类似的错误：

DatabaseError: invalid input syntax for integer: "core_film.parent_id"
LINE 1: ...calized" ON ("core_objectlocalized"."parent_id" = E'core_fil...

如何解决此问题？

Django 版本 1.2.3。

编辑
我无法删除引号，因为我使用字符串：

result = self.function(result, tag, "core_film.parent_id")
def function(self, objects, tags, film_id_string):

我的 RawQuerySet 参数如下所示：

params = {'film_id_string': film_id_string}

当我尝试解析此内容时，我得到：

LEFT OUTER JOIN "core_objectlocalized" ON ("core_objectlocalized"."parent_id" = E\'core_film.parent_id\') 

然后我遇到问题

DatabaseError: invalid input syntax for integer: "core_film.parent_id"
LINE 1: ...calized" ON ("core_objectlocalized"."parent_id" = E'core_fil...

，但是，当我使用字符串格式时，

LEFT OUTER JOIN "core_objectlocalized" ON ("core_objectlocalized"."parent_id" = %s)' % film_id_string

它可以工作：

LEFT OUTER JOIN "core_objectlocalized" ON ("core_objectlocalized"."parent_id" = core_film.parent_id)

我想省略SQL注入的可能性，因此基于 Django 文档 我不想传递带有字符串格式的参数。
我还能做什么？

Answer 1

Django 通过转义参数来防止 SQL 插入。这是一个 SQL 语句，因此它不起作用这一事实是一件好事 - Django 正在完成它的工作。除非系统用户将设置“film_id_string”的值，否则您为使其正常工作所做的操作应该没问题。如果不是，那么您仍必须使用“...%s)' % film_id_string...”方法，但创建您自己的自定义过滤器以验证它是否是正确的允许值之一。