Postgres関数のparamをJSONクエリに渡すにはどうすればよいですか？

Question

CREATE OR REPLACE FUNCTION dynamicJsonValue(varchar(64)) RETURNS VOID AS 
'UPDATE "table" SET "field" = ''value'' 
WHERE "json_field" @> ''{"key": $1}'';' 
LANGUAGE SQL VOLATILE; 

このようなクエリに関数のパラメータを挿入することができません。

Answer 1

さえ引用符は他に...あなたの声明の中で

と一致し、それがSQL injectionに対して脆弱です。

はこのような何かを試してみてください：

CREATE OR REPLACE FUNCTION dynamicJsonValue(varchar(64)) RETURNS void AS 
$$UPDATE "table" SET "field" = 'value' 
    WHERE "json_field" 
     @> CAST ('{"key": "' || replace($1, '"', '') || '" }' AS jsonb)$$ 
LANGUAGE sql STRICT; 

Answer 2

はそれを考え出した：

CREATE OR REPLACE FUNCTION dynamicJsonValue(varchar(64)) RETURNS VOID AS 
'UPDATE "table" SET "field" = ''value'' 
WHERE "json_field" @> jsonb_build_object(''field'', $1);' 
LANGUAGE SQL VOLATILE;