Das deutsche Python-Forum

Code: Alles auswählen

#!/usr/bin/env python3
# -*- coding: utf-8 -*-

import sqlite3

def main():
    # Erst mal eine kleine Datenbank bauen
    connection = sqlite3.connect(':memory:')
    cursor = connection.cursor()

    cursor.execute('''
        CREATE TABLE test (
	        id	 INTEGER PRIMARY KEY NOT NULL UNIQUE,
	        nutzlast TEXT NOT NULL
        ); 
        ''')

    inhalt = [(1, 'Eintrag 5'),
              (2, 'Eintrag 4'),
              (3, 'Eintrag 3'),
              (4, 'Eintrag 2'),
              (5, 'Eintrag 1')]

    # So soll es ja sein
    cursor.executemany('INSERT INTO test VALUES (?, ?)', inhalt) 

    connection.commit()

    # Jetzt zur Frage:
    # Hat das folgende Konstrukt auch die benannte Sicherheitslücke? Die
    # Ersetzung der Werte im f-String passiert doch schon vor der Substitution
    # in der Abfrage während dem append(). Damit wäre die Gefahr der SQL-
    # Injection doch vom Tisch, oder?
    field = 'id'
    #field = 'nutzlast'
    
    query = ['SELECT * FROM test']
    query.append(f'ORDER BY {field}')

    result = cursor.execute(' '.join(query))
    rows = cursor.fetchall()

    for row in rows:
        print(f'{row[0]:2} {row[1]}')


if __name__ == '__main__':
    main()

# vim:tw=79:nowrap

Code: Alles auswählen

Traceback (most recent call last):
  File "/path/to/test.py", line 49, in <module>
    main()
  File "/path/to/test.py", line 41, in main
    result = cursor.execute(' '.join(query))
sqlite3.Warning: You can only execute one statement at a time.

Code: Alles auswählen

...
result = cursor.execute('SELECT * FROM test ORDER BY ?', ('id LIMIT 0',))
...

Code: Alles auswählen

#!/usr/bin/env python3
from sqlalchemy import Column, Integer, MetaData, Table, Text, create_engine


def main():
    engine = create_engine("sqlite://")
    meta_data = MetaData(engine)
    test_table = Table(
        "test",
        meta_data,
        Column("id", Integer, primary_key=True),
        Column("nutzlast", Text, nullable=False),
    )
    meta_data.create_all()
    engine.execute(
        test_table.insert(),
        {"id": 1, "nutzlast": "Eintrag 5"},
        {"id": 2, "nutzlast": "Eintrag 4"},
        {"id": 3, "nutzlast": "Eintrag 3"},
        {"id": 4, "nutzlast": "Eintrag 2"},
        {"id": 5, "nutzlast": "Eintrag 1"},
    )

    field = "id"
    # field = "nutzlast"
    query = test_table.select().order_by(test_table.c[field])
    for row in engine.execute(query):
        print(f"{row.id:2} {row.nutzlast}")


if __name__ == "__main__":
    main()

# vim:tw=79:nowrap