Sustitución de parámetros para una cláusula SQLite "IN"

Question

Estoy intentando usar la sustitución de parámetros con SQLite within Python para una cláusula IN. Aquí está un ejemplo de funcionamiento completo que demuestra:

import sqlite3 

c = sqlite3.connect(":memory:") 
c.execute('CREATE TABLE distro (id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT)') 

for name in 'Ubuntu Fedora Puppy DSL SuSE'.split(): 
    c.execute('INSERT INTO distro (name) VALUES (?)', [ name ]) 

desired_ids = ["1", "2", "5", "47"] 
result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % (", ".join(desired_ids)),()) 
for result in result_set: 
    print result 

Se imprime:

(1, u'Ubuntu') (2, u'Fedora') (5, u'SuSE')

Como los documentos afirman que "[N] o no se debe montar su consulta mediante operaciones de cadenas de Python, ya que hacerlo es inseguro, hace que su programa sea vulnerable a un ataque de inyección SQL, "Estoy esperando utilizar la sustitución de parámetros.

cuando intento:

result_set = c.execute('SELECT * FROM distro WHERE id IN (?)', [ (", ".join(desired_ids)) ]) 

Obtengo un conjunto de resultados vacío, y cuando intento:

result_set = c.execute('SELECT * FROM distro WHERE id IN (?)', [ desired_ids ]) 

me sale:

InterfaceError: Error binding parameter 0 - probably unsupported type.

Aunque espero que cualquier respuesta para este problema simplificado funcionará, me gustaría señalar que la consulta real que deseo realizar se encuentra en una subconsulta doblemente anidada. A saber:

UPDATE dir_x_user SET user_revision = user_attempted_revision 
WHERE user_id IN 
    (SELECT user_id FROM 
     (SELECT user_id, MAX(revision) FROM users WHERE obfuscated_name IN 
      ("Argl883", "Manf496", "Mook657") GROUP BY user_id 
     ) 
    ) 

Answer 1

sí es necesario el número correcto de ? s, pero que no representan un riesgo de inyección SQL:

>>> result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % 
          ','.join('?'*len(desired_ids)), desired_ids) 
>>> print result_set.fetchall() 
[(1, u'Ubuntu'), (2, u'Fedora'), (5, u'SuSE')] 

Answer 2

Actualización: esto funciona:

import sqlite3 

c = sqlite3.connect(":memory:") 
c.execute('CREATE TABLE distro (id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT)') 

for name in 'Ubuntu Fedora Puppy DSL SuSE'.split(): 
    c.execute('INSERT INTO distro (name) VALUES (?)', (name,)) 

desired_ids = ["1", "2", "5", "47"] 
result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % ("?," * len(desired_ids))[:-1], desired_ids) 
for result in result_set: 
    print result 

El problema es que es necesario tener uno? para cada elemento en la lista de entrada.

La instrucción ("?," * len(desired_ids))[:-1] hace una secuencia repetitiva de "?,", Luego corta la última coma. de modo que haya un signo de interrogación para cada elemento en desired_ids.

Answer 3

siempre termino haciendo algo como esto:

query = 'SELECT * FROM distro WHERE id IN (%s)' % ','.join('?' for i in desired_ids) 
c.execute(query, desired_ids) 

No hay riesgo de inyección porque no está colocando cadenas de desired_ids en la consulta directamente.

Answer 4

En caso de que sqlite tenga un problema con la longitud de la solicitud sql, la cantidad indefinida de signos de interrogación puede ser una especie de forma de entender las cosas.

Answer 5

De acuerdo con http://www.sqlite.org/limits.html (elemento 9), SQLite no puede (de forma predeterminada) manejar más de 999 parámetros para una consulta, por lo que las soluciones aquí (generar la lista de marcadores de posición necesaria) fallarán si tiene miles de elementos que estás buscando IN. Si ese es el caso, vas a tener que dividir la lista, recorrer las partes y unir los resultados tú mismo.

Si no necesita miles de elementos en su cláusula IN, entonces la solución de Alex es la forma de hacerlo (y parece ser la forma en que Django lo hace).