postgresql - 如何强制转换列名以防止 SQL 注入？

Question

EXECUTE在 PostgreSQL 函数中定义时，我可以转换表名称以::regclass确保它们是有效的关系名称。现在，我想将其扩展到列名，但我找不到合适的类型。

我的代码：

...
BEGIN
    EXECUTE '
    UPDATE ' || tbl::regclass || ' SET ' || col || '=someVal WHERE idcol=id
    ';
END;
...

col在将其转换为列名之后要放什么？

Answer 1

quote_ident(col)

字符串函数