24

这可能是一个相当愚蠢的问题，但我在这里做错了什么？它创建了表格，但 INSERT INTO 不起作用，我想我对占位符做错了什么？

conn = psycopg2.connect("dbname=postgres user=postgres")
cur = conn.cursor()
escaped_name = "TOUR_2"
cur.execute('CREATE TABLE %s(id serial PRIMARY KEY, day date, elapsed_time varchar,    net_time varchar, length float, average_speed float, geometry GEOMETRY);' % escaped_name)

cur.execute('INSERT INTO %s (day,elapsed_time, net_time, length, average_speed, geometry) VALUES (%s, %s, %s, %s, %s, %s)', (escaped_name, day ,time_length,  time_length_net, length_km, avg_speed,  myLine_ppy))

conn.commit()
cur.close()
conn.close()

INSERT INTO 调用不起作用，它给了我

cur.execute('INSERT INTO %s (day,elapsed_time, net_time, length, average_speed,  
geometry) VALUES (%s, %s, %s, %s, %s, %s)'% (escaped_name, day ,time_length,  
time_length_net, length_km, avg_speed,  myLine_ppy))
psycopg2.ProgrammingError: syntax error at or near ":"
LINE 1: ...h, average_speed, geometry) VALUES (2013/09/01 , 2:56:59, 02...

有人可以帮我解决这个问题吗？非常感谢！

4

3 回答 3

36

您正在使用 Python 字符串格式，这是一个非常糟糕的主意 (TM)。想想 SQL 注入。正确的做法是使用绑定变量：

cur.execute('INSERT INTO %s (day, elapsed_time, net_time, length, average_speed, geometry) VALUES (%s, %s, %s, %s, %s, %s)', (escaped_name, day, time_length, time_length_net, length_km, avg_speed, myLine_ppy))

其中参数元组作为第二个参数给出execute()。此外，您不需要转义任何值，psycopg2 将为您进行转义。在这种特殊情况下，还建议不要在变量 ( escaped_name) 中传递表名，而是将其嵌入到查询字符串中：psycopg2 不知道如何引用表名和列名，只知道值。

请参阅 psycopg2 文档：

https://www.psycopg.org/docs/usage.html#passing-parameters-to-sql-queries

如果要以编程方式生成 SQL 语句，通常的方法是对语句使用 Python 格式，对参数使用变量绑定。例如，如果您有表名，escaped_name您可以执行以下操作：

query = "INSERT INTO %s (col1, ...) VALUES (%%s, ...)" % escaped_name
curs.execute(query, args_tuple)

显然，要在查询中使用占位符，您需要引用任何%以第一种格式引入绑定参数的内容。

请注意，当且仅当 escaped_name您的代码生成忽略任何外部输入（例如表基名称和计数器）时，这是安全的，但如果您使用用户提供的数据，则存在 SQL 注入的风险。

于 2013-10-07T22:27:08.110 回答
3

为了扩展@Matt 的答案，占位符不适用于表名等标识符，因为该名称将作为字符串值引用并导致语法无效。

如果要动态生成这样的查询，可以使用引用的pyscopg2.sql模块：

from psycopg2.sql import Identifier, SQL

cur.execute(SQL("INSERT INTO {} VALUES (%s)").format(Identifier('my_table')), (10,))
于 2021-06-28T21:15:09.857 回答
1

到目前为止，psycopg2 v2.7有一种受支持的方法可以做到这一点：请参阅psycopg2.sqldocs。

于 2017-06-08T22:05:18.273 回答