Dotaz: Konstruovani SQL dotazu.

[Z.]

Zdravim, pri programovani s relacnimi databazemi se casem nevyhnu pouzivani konstrukci jako:

sql = "SELECT columnB FROM something WHERE columnA IN (%s)" % ', '.join(very_long_list)

######

pairs = []

for pair in very_long_list:
    pairs.append("columnA = %s AND columnB = %s" % pair)

sql = 'SELECT * FROM something WHERE %s;' % ' OR '.join(pairs)

Pricemz very_long_list je vstup "zvenku" (napr. od uzivatele). Da se tomu nejak vyhnout nebo to vyplyva primo z podstaty jazyka SQL?

---

---

Odpovědi

[Kit]

Zkusil jsem to přes virtuální tabulku, je možné použít i temporary:

Nejprve tabulka v databázi:

CREATE TABLE pairs (key text, key2 text, nazev text);
CREATE INDEX ipairs on pairs(key);
CREATE INDEX ipairs2 on pairs(key2);
INSERT INTO "pairs" VALUES('ab','ec','abeceda');
INSERT INTO "pairs" VALUES('be','du','beduín');
INSERT INTO "pairs" VALUES('ci','zi','cizinec');
INSERT INTO "pairs" VALUES('de','kl','deklarace');

a teď dotaz, kde very_long_list=(ax,be,ci,an):

SELECT DISTINCT nazev FROM (SELECT 'ax' AS klic
   UNION ALL SELECT 'be'
   UNION ALL SELECT 'ci'
   UNION ALL SELECT 'an') AS dotaz
   JOIN pairs ON dotaz.klic=key OR dotaz.klic=key2;

Je to sestavené narychlo a možná to i rychlé bude.

[okbob]

Osobně pochybuji, že běžný uživatel dá dohromady něco, co bych mohl označit jako "very_long_list". Nebojíte se subselectů?

SELECT * FROM tab WHERE a = (SELECT a FROM tab2 WHERE rozumná_podmínka)
SELECT * FROM tab JOIN tab2 ON .. WHERE rozumna_podminka

Pokud seznam získáváte z jiné tabulky, tak vhodnější bude použít JOIN nebo subselect. Jinak holt není zbytí - pro několik desítek až stovek hodnot v seznamu byste nemusel mít problém. Tisíce až desetitisíce už by mohlo způsobovat problémy - bude záležet na db, kterou používáte a na tom jak moc či málo jí to rozhodí statistiky.

[Josef Kufner]

Koukni na DibiFluent – hodně ti to pomůže s vytvářením dotazů jako takových.

Neboj se joinů a subselectů. Občas very_long_list potřeba je, ale jen málokdy bývá tak dlouhý, aby to vadilo.

[Ivan]

Moje odpoved bude trochu "Oracle centristic", ale to snad nevadi. To co hledas se jmenuje "dynamic where clause", zkus to zadat do google a najdes o tom dost clanku. Pro SQL je dulezite to, ze to neni scriptovaci jazyk. I kdyz to neni videt SQL je kompilovane do bytecode a z toho vychazeji ruzna omezeni - zadny eval, kazdy sql statement musi mit pevny pocet vstupnich parametru, pevna jmena tabulek. Pokud potrebujes pro SQL volitelny pocet parametru, tak je nejjednodussi vlozit data do temp. table a pak udelat join s tou docasnou tabulkou.

[Filip Jirsák]

Vyhnout se tomu dá a měl byste se tomu vyhnout, jinak ty dotazy bude možné zneužít k SQL injection.

V prvním případě jednoduše použijte parametr až na úrovni funkcí ovladače SQL. Tj. vytvoříte dotaz např.

SELECT columnB FROM something WHERE columnA IN (?)

a pak před voláním dotazu nastavíte ten parametr na zadané hodnoty. Má to i tu výhodu, že ovladač nebo databáze může tenhle dotaz rozparsovat (a případně i nějak optimalizovat) při prvním použití, a při opakovaném použití už si to jen vytáhne z cache. V Pythonu by to bylo asi takhle:

c.execute('SELECT columnB FROM something WHERE columnA IN (?)', (very_long_list,))

Ve druhém případě to takhle jednoduše udělat nejde (když máte proměnlivý počet parametrů), ale pořád bude lepší poskládat za běhu parametrizovnaý dotaz a ten pak naplnit parametry – abyste se vyhnul SQL injection. Připadá mi ale ten druhý dotaz poněkud divný, kdyby bylo jasné, co tím chcete řešit, možná existuje nějaké lepší řešení.

Jak se používají