我可以使用查询参数插入表名吗？

Question

我有一个SQL炼金术引擎，我尝试通过sqlalchemy.sql.text插入参数以防止SQL注入。

以下代码有效，其中我为条件和条件值编码变量。

from sqlalchemy import create_engine
from sqlalchemy.sql import text

db_engine = create_engine(...)

db_engine.execute(
         text(
             'SELECT * FROM table_name WHERE :condition_1 = :condition_1_value'), condition_1="name", condition_1_value="John"
         )
).fetchall()

但是，当我尝试为table_name的变量名称编码时，它会返回错误。

from sqlalchemy import create_engine
from sqlalchemy.sql import text

db_engine = create_engine(...)

db_engine.execute(
         text(
             'SELECT * FROM :table_name WHERE :condition_1 = :condition_1_value'), table_name="table_1", condition_1="name", condition_1_value="John"
         )
).fetchall()

有什么想法为什么这不起作用？

编辑： 我知道这与table_name不是字符串有关，但我不确定如何以其他方式进行操作。

Answer 1

有什么想法为什么这不起作用？

查询参数用于提供事物的 value （通常是列值），而不是事物的名称（表，列等）。我看过的每个数据库都这样工作。

因此，尽管无处不在的建议是动态SQL是一件“坏事”，但在某些情况下，这是必不可少的。这是其中之一。

table_name = "table_1"  # NOTE: Do not use untrusted input here!
stmt = text(f'SELECT * FROM "{table_name}" …')

另外，请检查您从尝试参数化列名的结果。您可能不会得到您的期望。

stmt = text("SELECT * FROM table_name WHERE :condition_1 = :condition_1_value")
db_engine.execute(stmt, dict(condition_1="name", condition_1_value="John"))

不会产生相当于

SELECT * FROM table_name WHERE name = 'John'

它的等效物将呈现等效

SELECT * FROM table_name WHERE 'name' = 'John'

且不会丢失错误，但是它也不会返回行，因为'name'='john'永远不会是正确的。