PostgreSQL
 sql >> Base de Dados >  >> RDS >> PostgreSQL

especificando com segurança a cláusula 'order by' da entrada do usuário em python/postgresql/psycopg2


Nomes de entidades (tabelas/colunas etc...) na DBAPI do Python não devem ser executados por meio de nenhum processamento de espaço reservado como as variáveis ​​devem ser. Você terá que fazer sua própria formatação:
'select * from table offset %s limit %s order by %s' % (0,5,'sort_column')

Mas use as funções de escape/placeholder adequadas para WHERE var = %s etc...