Question

我正在尝试使用动态列名打开游标的写入功能。我担心这里有明显的SQL注入可能性。我很高兴在fine manual看到这很容易做到，但是当我在我的例子中尝试时，它出错了

错误：列不存在。

我目前的尝试可以浓缩为this SQL Fiddle。下面，我提供了这个小提琴的格式化代码。

tst()函数的目标是能够计算常量查询的任何给定列中不同的值的出现。

我要求提示我做错了什么，或者是以安全的方式实现同一目标的另一种方法。

    CREATE TABLE t1 (
        f1 character varying not null,
        f2 character varying not null
    );
    CREATE TABLE t2 (
        f1 character varying not null,
        f2 character varying not null
    );
    INSERT INTO t1 (f1,f2) VALUES ('a1','b1'), ('a2','b2');
    INSERT INTO t2 (f1,f2) VALUES ('a1','c1'), ('a2','c2');

    CREATE OR REPLACE FUNCTION tst(p_field character varying)
        RETURNS INTEGER AS
    $BODY$ 
    DECLARE 
        v_r record; 
        v_cur refcursor; 
        v_sql character varying := 'SELECT count(DISTINCT(%I)) as qty 
                                    FROM t1 LEFT JOIN t2 ON (t1.f1=t2.f1)'; 
    BEGIN  
        OPEN v_cur FOR EXECUTE format(v_sql,lower(p_field)); 
        FETCH v_cur INTO v_r; 
        CLOSE v_cur; 
        return v_r.qty; 
    END; 
    $BODY$ 
    LANGUAGE plpgsql;

测试执行：

SELECT tst('t1.f1')

提供错误消息：

ERROR: column "t1.f1" does not exist
Hint: PL/pgSQL function tst(character varying) line 1 at OPEN

Answer 1

这样可行：

SELECT tst('f1');

您遇到的问题：format()将与 %I 连接的参数解释为一个标识符。您正在尝试传递由两个标识符组成的表限定列名称，该标识符被解释为"t1.f1"（一个名称，双引号以保留名称中的其他非法点。

如果要传递表和列名，请使用两个参数：

CREATE OR REPLACE FUNCTION tst2(_col text, _tbl text = NULL)
  RETURNS int AS
$func$
DECLARE
   v_r record;
   v_cur refcursor;
   v_sql text := 'SELECT count(DISTINCT %s) AS qty
                  FROM t1 LEFT JOIN t2 USING (f1)';
BEGIN
   OPEN v_cur FOR EXECUTE
      format(v_sql, CASE WHEN _tbl <> ''  -- rule out NULL and ''
                         THEN quote_ident(lower(_tbl)) || '.' ||
                              quote_ident(lower(_col))
                         ELSE quote_ident(lower(_col)) END);
   FETCH v_cur INTO v_r;
   CLOSE v_cur;
   RETURN v_r.qty;
END
$func$ LANGUAGE plpgsql;

除此之外：DISTINCT f1 - 列名称周围没有括号，除非您想将其设为行类型。

实际上，根本不需要光标。更快，更简单：

CREATE OR REPLACE FUNCTION tst3(_col text, _tbl text = NULL, OUT ct bigint) AS
$func$
BEGIN
   EXECUTE format('SELECT count(DISTINCT %s) AS qty
                   FROM t1 LEFT JOIN t2 USING (f1)'
                 , CASE WHEN _tbl <> ''  -- rule out NULL and ''
                        THEN quote_ident(lower(_tbl)) || '.' ||
                             quote_ident(lower(_col))
                        ELSE quote_ident(lower(_col)) END)
   INTO ct;
   RETURN;
END
$func$ LANGUAGE plpgsql;

为方便起见，我提供了NULL作为参数默认。这样，您只需使用列名或列名和表名即可调用该函数。但不是没有列名。

呼叫：

SELECT tst3('f1', 't1');
SELECT tst3('f1');
SELECT tst3(_col := 'f1');

与test2()相同。

SQL Fiddle.

从用户输入中使用动态列名打开游标的安全方法

1 个答案: