SQLite "IN"句のパラメータ置換

Question

IN句にSQLite within Pythonのパラメータ置換を使用しようとしています。

import sqlite3 

c = sqlite3.connect(":memory:") 
c.execute('CREATE TABLE distro (id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT)') 

for name in 'Ubuntu Fedora Puppy DSL SuSE'.split(): 
    c.execute('INSERT INTO distro (name) VALUES (?)', [ name ]) 

desired_ids = ["1", "2", "5", "47"] 
result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % (", ".join(desired_ids)),()) 
for result in result_set: 
    print result 

それが出て出力します：

(1, u'Ubuntu') (2, u'Fedora') (5, u'SuSE')

ドキュメントは、「[あ]なたは、そうするために、Pythonの文字列操作を使用してクエリを組み立てるべきではないと述べているようにここで示して完全に実行されている例がありますあなたのプログラムはSQLインジェクション攻撃に対して脆弱になります。「パラメータ置換を使用したいと思っています。

私は試してみてください。

result_set = c.execute('SELECT * FROM distro WHERE id IN (?)', [ (", ".join(desired_ids)) ]) 

私は空の結果セットを取得し、私がしようとすると：

result_set = c.execute('SELECT * FROM distro WHERE id IN (?)', [ desired_ids ]) 

私が手：

InterfaceError: Error binding parameter 0 - probably unsupported type.

私はどんな答えていることを願っていますがこの単純化された問題を解決するには、実行したい実際のクエリが二重にネストされたサブクエリにあることを指摘したいと思います。ウィットには：

UPDATE dir_x_user SET user_revision = user_attempted_revision 
WHERE user_id IN 
    (SELECT user_id FROM 
     (SELECT user_id, MAX(revision) FROM users WHERE obfuscated_name IN 
      ("Argl883", "Manf496", "Mook657") GROUP BY user_id 
     ) 
    ) 

Answer 1

あなたは?秒の正しい数が必要ですが、それは、SQLインジェクションのリスクをもたらすことはありません：いいえあります

query = 'SELECT * FROM distro WHERE id IN (%s)' % ','.join('?' for i in desired_ids) 
c.execute(query, desired_ids) 

：

>>> result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % 
          ','.join('?'*len(desired_ids)), desired_ids) 
>>> print result_set.fetchall() 
[(1, u'Ubuntu'), (2, u'Fedora'), (5, u'SuSE')] 

Answer 2

アップデート：この作品：

import sqlite3 

c = sqlite3.connect(":memory:") 
c.execute('CREATE TABLE distro (id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT)') 

for name in 'Ubuntu Fedora Puppy DSL SuSE'.split(): 
    c.execute('INSERT INTO distro (name) VALUES (?)', (name,)) 

desired_ids = ["1", "2", "5", "47"] 
result_set = c.execute('SELECT * FROM distro WHERE id IN (%s)' % ("?," * len(desired_ids))[:-1], desired_ids) 
for result in result_set: 
    print result 

問題は、あなたが1を持っている必要があることでしたか？入力リストの各要素に対して

ステートメント("?," * len(desired_ids))[:-1]は、 "？"の繰り返し文字列を作成し、最後のカンマを切り捨てます。 desired_idsには各要素の疑問符が1つあります。

Answer 3

私はいつもこのような何かをやって終わりますあなたがdesired_idsからの文字列を直接クエリに入れているわけではないからです。

Answer 4

sqliteがsqlリクエストの長さに問題がある場合は、疑問符の無限の数が何かをうねらせる方法になる可能性があります。

Answer 5

http://www.sqlite.org/limits.html（項目9）によると、SQLiteではクエリに999個以上のパラメータを扱うことができないため、ここでの解決策（必要なプレースホルダのリストを生成）は失敗します。あなたはINを探しています。そうであれば、リストを分割して、その部分をループして、結果を自分自身で結合する必要があります。

IN句に何千もの項目が必要ない場合は、Alexのソリューションがこれを行う方法です（Djangoのやり方と思われる）。