python - django + 南 + python : strange behavior when using a text string received as a parameter in a function

Question

这是我的第一个问题。

我正在尝试在 django 中执行 SQL 查询(南迁):

from django.db import connection
# ...
class Migration(SchemaMigration):
    # ...
    def transform_id_to_pk(self, table):
        try:
            db.delete_primary_key(table)
        except:
            pass
        finally:
            cursor = connection.cursor()

            # This does not work
            cursor.execute('SELECT MAX("id") FROM "%s"', [table])

            # I don't know if this works.
            try:
                minvalue = cursor.fetchone()[0]
            except:
                minvalue = 1
            seq_name = table + '_id_seq'

            db.execute('CREATE SEQUENCE "%s" START WITH %s OWNED BY "%s"."id"', [seq_name, minvalue, table])
            db.execute('ALTER TABLE "%s" ALTER COLUMN id SET DEFAULT nextval("%s")', [table, seq_name + '::regclass'])
            db.create_primary_key(table, ['id'])
    # ...

我是这样使用这个函数的:

self.transform_id_to_pk('my_table_name')

所以它应该:

1. 找到最大的现有 ID 或 0(崩溃)
2. 创建序列名
3. 创建序列
4. 更新 ID 字段以使用序列
5. 将 ID 更新为 PK

但它崩溃了，错误提示:

  File "../apps/accounting/migrations/0003_setup_tables.py", line 45, in forwards
    self.delegation_table_setup(orm)
  File "../apps/accounting/migrations/0003_setup_tables.py", line 478, in delegation_table_setup
    self.transform_id_to_pk('accounting_delegation')
  File "../apps/accounting/migrations/0003_setup_tables.py", line 20, in transform_id_to_pk
    cursor.execute(u'SELECT MAX("id") FROM "%s"', [table.encode('utf-8')])
  File "/Library/Python/2.6/site-packages/django/db/backends/util.py", line 19, in execute
    return self.cursor.execute(sql, params)
psycopg2.ProgrammingError: relation "E'accounting_delegation'" does not exist
LINE 1: SELECT MAX("id") FROM "E'accounting_delegation'"
                              ^

为方便起见，我缩短了文件路径。

“E'accounting_delegation'”是什么意思？我怎样才能摆脱它？

谢谢!

卡洛斯。

Answer 1

问题是您正在对非 SQL 数据的事物使用 DB-API 参数化。当您执行以下操作时:

cursor.execute('INSERT INTO table_foo VALUES (%s, %s)', (col1, col2))

DB-API 模块(在这种情况下，无论你使用什么数据库，django 的前端)都会知道适本地转义 'col1' 和 'col2' 的内容，并用它们替换 %s。请注意，%s 周围没有引号。但这仅适用于 SQL 数据，不适用于 SQL 元数据，例如表名和序列名，因为它们需要以不同方式引用(或根本不需要引用)。你做

cursor.execute('INSERT INTO "%s" VALUES (%s, %s)', (tablename, col1, col2))

表名被引用，就好像你的意思是要插入的字符串数据一样，你最终得到的是，例如，“'table_foo'”。您需要将作为查询一部分的 SQL 元数据与不属于查询的 SQL 数据分开，如下所示:

sql = 'INSERT INTO TABLE "%s" VALUES (%%s, %%s)' % (tablename,)
cursor.execute(sql, (col1, col2))

请注意，因为 django DB-API 前端的参数样式是“pyformat”(它使用 %s 作为占位符)，所以当您进行字符串格式化以创建要执行的 SQL 时，您需要转义它们。请注意，当您从不安全的来源获取表名并且不对其进行验证时，这对于 SQL 注入(inject)攻击是不安全的。