PostgresでPythonで一重引用符を使用したinsert文の作成

Question

私はcommentsというフィールドを持っています。 大きなテーブルの値を複数のテーブルに読み込むのが効果的です。 したがって、私のselectクエリは私のためのコメントフィールドを取得します。

私はテーブルからテーブルへのコピーを行うPythonスクリプトを構築しています。 一重引用符のため "申し訳ありませんがご注文を処理できません"のようなコメントフィールドが表示された場合、私の挿入クエリが失敗します。

私は$引用符を使用してみましたが、ここで無駄

に私は

#!/usr/bin/python 

import psycopg2 

conn = psycopg2.connect("dbname='postgres' user='postgres' host='localhost') 
mark=conn.cursor() 
/* fectching the rows and doing other stuff */ 

addthis="insert into my_table(something) values("$$"+str(row[8])+"$$") 
mark.execute(addthis) 
conn.commit() 

をしようとしています何でいるの助けに感謝します！

Answer 1

1. 挿入ステートメントにはプレースホルダを使用する必要があります。 psycopg2の場合、それは%sです。
2. ​​に2番目の引数としてパラメータを渡す必要があります。そうすれば、引用の問題はなく、SQLインジェクション攻撃から守ることができます。たとえば、

：

addthis = "INSERT INTO my_table (something) VALUES (%s);" 
mark.execute(addthis, ('a string you wish to insert',)) 

Answer 2

バーニーにより示唆されるようにあなたが、プレースホルダを使用することができます。 これが好ましい方法です。
ただし、プレースホルダの使用が不可能な状況があります。その後、qoutesを手動でエスケープする必要があります。

addthis="insert into my_table(something) values(%s)" % str(row[8]).replace('"', r'\"').replace("'", r"\'") 
mark.execute(addthis)