python - sqlite中的变量表名

Question

问题:是否可以使用变量作为表名，而不必使用字符串构造函数？

<小时/>

信息:

我现在正在开发一个项目，该项目对我的恒星模拟数据进行编目。为此，我将所有数据加载到 sqlite 数据库中。它运行得很好，但我决定为我的数据库添加更多的灵 active 、效率和可用性。我计划稍后将小行星添加到模拟中，并希望为每颗恒星都有一个表格。这样我就不必在每个太阳系中的 1-4k 的 20m 小行星表中查询。

有人告诉我使用字符串构造函数是不好的，因为它使我容易受到 SQL 注入(inject)攻击。虽然这在这里不是什么大问题，因为我是唯一有权访问这些数据库的人，但我想遵循最佳实践。这样，如果我做一个类似情况的项目并向公众开放，我就知道该怎么做。

目前我正在这样做:

cursor.execute("CREATE TABLE StarFrame"+self.name+" (etc etc)")

这可行，但我想做更多类似的事情:

cursor.execute("CREATE TABLE StarFrame(?) (etc etc)",self.name)

虽然我知道这可能是不可能的。虽然我会满足于类似的东西

cursor.execute("CREATE TABLE (?) (etc etc)",self.name)

如果这根本不可能，我会接受这个答案，但如果有人知道如何做到这一点，请告诉我。 :)

我正在用 python 编码。

Answer 1

不幸的是，表格不能成为参数替换的目标(我没有找到任何明确的来源，但我在一些网络论坛上看到过它)。

如果您担心注入(inject)(您可能应该担心)，您可以编写一个在传递字符串之前清理字符串的函数。由于您只是在寻找表名，因此您应该安全地接受字母数字，去掉所有标点符号，例如 )(][;, 和空格。基本上，只需保留 A-Z a-z 0-9。

def scrub(table_name):
    return ''.join( chr for chr in table_name if chr.isalnum() )

scrub('); drop tables --')  # returns 'droptables'