Question

所以我正在使用以下代码基于用户输入构建查询：

    if empty_indic_form.validate_on_submit():
    query='select name, year, value, display_name from literal inner join ent on ent_id=ent.id where display_name in ('
    for i in indic_form.indicators.data:
        query=query+'\''+i+'\','
    query=query[:-1]+') '
    query=query+'and name in ('
    for c in order_c:
        query=query+c+','
    query=query[:-1]+')'
    data_return=db.engine.execute(query).fetchall()

我已经确认查询看起来像它应该是什么，甚至有一个早期的会话，它返回一个像我期望的rowproxy对象列表。但是现在无论我做什么，我都会收到这个错误！

我已经将查询设置为模板中的变量，因此我可以将其打印出来，这就是我得到的：

select name, year, value, display_name from literal inner join ent on ent_id=ent.id where display_name in ('Energy savings of primary energy (TJ)','Adolescent birth rate (women aged 15-19 years)','Net migration rate','Transmission and distribution losses (%)') and name in ('Burkina Faso', 'Ghana', 'Saudi Arabia', 'Pakistan')

我直接在我的Postgres数据库上运行，结果很棒。

在错误转储中，我注意到data_return=db.engine.execute(query).fetchall()行正在构建一个空字典作为参数，这当然会在最后抛出该错误。我可以强迫它不要这样做吗？查询对象看起来像上面那样，现在它有什么问题？我应该在刷新页面或转到主页时杀死数据库会话吗？

Answer 1

您的方法中的基本错误是使用字符串连接来构建SQL查询。如果indic_form.indicators.data或order_c是用户提供的数据，例如来自HTTP请求，则您可能已为SQL injection打开了自己。错误

TypeError: 'dict' object does not support indexing

是这种连接的结果：您的查询字符串包含一个流氓"%"，它是psycopg的占位符语法的一部分 - 通常与SQLAlchemy一起使用的DB-API与Postgresql交谈。这正是为什么不应该进行手动连接的原因。正确逃离可能很难。

使用Psycopg2中的tuples adaptation将值列表传递给IN运算符。在SQLAlchemy中，您使用的是in_列运算符，或expanding bind param的introduced in version 1.2。

不幸的是，在你的特殊情况下，SQLAlchemy包装引擎有一个问题：因为你的所有参数都是元组，所以SQLAlchemy引擎认为你试图将一个可迭代的参数元组传递给{{3并自动使用executemany()。您可以使用multiparams构造解决此问题，该构造允许DB-API不可知的绑定参数语法和字典作为参数容器：

from sqlalchemy import text

...

if empty_indic_form.validate_on_submit():
    # Note that the placeholders shouldn't have enclosing parentheses
    query = """SELECT name, year, value, display_name
               FROM literal
               INNER JOIN ent ON ent_id = ent.id
               WHERE display_name IN :display_name
                 AND name IN :name"""

    data_return = db.engine.execute(
        text(query), {'display_name': tuple(indic_form.indicators.data),
                      'name': tuple(order_c)}).fetchall()

回顾一下：永远不要使用字符串连接或手动格式化来构建SQL查询。始终使用占位符/绑定参数。

TypeError：'dict'对象不支持在此查询的第二个实例上抛出索引

1 个答案: