獲取表名從用戶選擇

Question

我的問題是我有一個SELECT查詢，但表中選擇的數據需要由用戶從HTML文件中指定。任何人都可以建議一種方法來做到這一點

我正在查詢一個postgres數據庫和SQL查詢是在一個python文件。

Answer 1

創建一個變量table_name和驗證它是否只包含表名中允許使用的字符。然後把它放到SQL查詢：

sql = "SELECT ... FROM {} WHERE ...".format(table_name) # replace ... with real sql 

如果不對其進行驗證和用戶發送討厭的東西，you run into risk。