PostgreSQL
 sql >> Database >  >> RDS >> PostgreSQL

specificando in modo sicuro la clausola "ordina per" dall'input dell'utente in python / postgresql / psycopg2

I nomi di entità (tabelle/colonne, ecc...) nel DBAPI di Python non devono essere eseguiti tramite l'elaborazione di segnaposto come dovrebbero essere le variabili. Dovrai fare la tua formattazione:

'select * from table offset %s limit %s order by %s' % (0,5,'sort_column')

Ma usa le corrette funzioni di escape/segnaposto per WHERE var = %s ecc...