sql >> Base de Datos >  >> RDS >> PostgreSQL

especificando de forma segura la cláusula 'ordenar por' de la entrada del usuario en python / postgresql / psycopg2

Los nombres de entidad (tablas/columnas, etc.) en DBAPI de Python no deben ejecutarse a través de ningún procesamiento de marcador de posición como se supone que deben ser las variables. Tendrás que hacer tu propio formateo:

'select * from table offset %s limit %s order by %s' % (0,5,'sort_column')

Pero use las funciones de escape/marcador de posición adecuadas para WHERE var = %s etc...