Я пытаюсь использовать подстановку параметров с SQLite внутри Python для предложения IN. Ниже приведен полный пример, демонстрирующий:
import sqlite3
c = sqlite3.connect(":memory:")
c.execute('CREATE TABLE distro (id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT)')
for name in 'Ubuntu Fedora Puppy DSL SuSE'.split():
c.execute('INSERT INTO distro (name) VALUES (?)', [ name ] )
desired_ids = ["1", "2", "5", "47"]
result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % (", ".join(desired_ids)), ())
for result in result_set:
print result
Он печатает:
(1, u'Ubuntu ') (2, u'Fedora) (5, u'SuSE ')
Как указано в документах, "[y] ou не должен собирать ваш запрос с помощью строковых операций Pythons, потому что это небезопасно, что делает вашу программу уязвимой для атаки SQL-инъекции:" Я надеюсь использовать замену параметров.
Когда я пытаюсь:
result_set = c.execute('SELECT * FROM distro WHERE id IN (?)', [ (", ".join(desired_ids)) ])
Я получаю пустой набор результатов, и когда я пытаюсь:
result_set = c.execute('SELECT * FROM distro WHERE id IN (?)', [ desired_ids ] )
Я получаю:
InterfaceError: параметр привязки ошибки 0 - вероятно, неподдерживаемый тип.
Хотя я надеюсь, что любой ответ на эту упрощенную проблему будет работать, я хотел бы указать, что фактический запрос, который я хочу выполнить, находится в дважды вложенном подзапросе. К остроумию:
UPDATE dir_x_user SET user_revision = user_attempted_revision
WHERE user_id IN
(SELECT user_id FROM
(SELECT user_id, MAX(revision) FROM users WHERE obfuscated_name IN
("Argl883", "Manf496", "Mook657") GROUP BY user_id
)
)