sql - 如何在 Apps 脚本和 BigQuery 中设置 SQL 参数

Question

我试图避免 sql 注入(inject)。该主题已在 Java (How to prevent query injection on Google Big Query) 和 Php. 中处理。

这是如何在 App Scripts 中完成的？我没有找到如何向 SQL 语句添加参数。这是我希望做的:

  var sql = 'SELECT [row],etext,ftext FROM [hcd.hdctext] WHERE (REGEXP_MATCH(etext, esearch = ?) AND REGEXP_MATCH(ftext, fsearch = ?));';


  var queryResults;
  var resource = {
      query: sql,
      timeoutMs: 1000,
      esearch='r"[^a-zA-z]comfortable"',
      fsearch='r"[a-z,A-z]confortable"'
  };

  queryResults = BigQuery.Jobs.query(resource,projectNumber);

然后用值填充 esearch 和 fsearch (可以在其他地方设置)。

根据文档，这不起作用。

关于如何在 SQL 查询中获取参数的任何建议？ (我找不到 setString 函数...)

谢谢!

Answer 1

遗憾的是，BigQuery 不支持这种类型的参数替换。它在我们要考虑的功能列表中，我会提高优先级，因为这似乎是一个常见的请求。

同时，我能提出的唯一建议是，如果您手动构建查询字符串，则需要确保小心地转义它们(这是一个非常重要的操作)。