如何投射列名以防止SQL注入？

Question

當在PostgreSQL的功能定義EXECUTE，我可以投的表名::regclass，以確保它們是有效的關係名稱。現在，我想擴展到列名稱，但我找不到適合的類型。

我的代碼：

... 
BEGIN 
    EXECUTE ' 
    UPDATE ' || tbl::regclass || ' SET ' || col || '=someVal WHERE idcol=id 
    '; 
END; 
... 

col後放什麼它轉換爲列名？

Answer 1

quote_ident(col) 

String functions