Tên bảng dưới dạng tham số hàm PostgreSQL

Tôi muốn chuyển tên bảng làm tham số trong hàm Postgres. Tôi đã thử mã này:

CREATE OR REPLACE FUNCTION some_f(param character varying) RETURNS integer 
AS $$
    BEGIN
    IF EXISTS (select * from quote_ident($1) where quote_ident($1).id=1) THEN
     return 1;
    END IF;
    return 0;
    END;
$$ LANGUAGE plpgsql;

select some_f('table_name');

Và tôi nhận được điều này:

ERROR:  syntax error at or near "."
LINE 4: ...elect * from quote_ident($1) where quote_ident($1).id=1)...
                                                             ^

********** Error **********

ERROR: syntax error at or near "."

Và đây là lỗi tôi gặp phải khi thay đổi thành này select * from quote_ident($1) tab where tab.id=1:

ERROR:  column tab.id does not exist
LINE 1: ...T EXISTS (select * from quote_ident($1) tab where tab.id...

Có lẽ, quote_ident($1)hoạt động, bởi vì không có where quote_ident($1).id=1phần tôi nhận được 1, có nghĩa là một cái gì đó đã được chọn. Tại sao quote_ident($1)tác phẩm đầu tiên có thể làm việc và tác phẩm thứ hai không cùng một lúc? Và làm thế nào điều này có thể được giải quyết?

Điều này có thể được đơn giản hóa và cải thiện hơn nữa:

CREATE OR REPLACE FUNCTION some_f(_tbl regclass, OUT result integer)
    LANGUAGE plpgsql AS
$func$
BEGIN
   EXECUTE format('SELECT (EXISTS (SELECT FROM %s WHERE id = 1))::int', _tbl)
   INTO result;
END
$func$;

Gọi với tên đủ điều kiện giản đồ (xem bên dưới):

SELECT some_f('myschema.mytable');  -- would fail with quote_ident()

Hoặc là:

SELECT some_f('"my very uncommon table name"');

Những điểm chính

• Sử dụng một OUTtham số để đơn giản hóa hàm. Bạn có thể chọn trực tiếp kết quả của SQL động vào nó và được thực hiện. Không cần thêm các biến và mã.

• EXISTSlàm chính xác những gì bạn muốn. Bạn nhận được truenếu hàng tồn tại hoặc falsekhác. Có nhiều cách khác nhau để làm điều này, EXISTSthường là hiệu quả nhất.

• Có vẻ như bạn muốn lấy lại một số nguyên , vì vậy tôi truyền booleankết quả từ EXISTSsang integer, kết quả mang lại chính xác những gì bạn có. Tôi sẽ trả về boolean để thay thế.

• Tôi sử dụng kiểu định danh đối tượng làm kiểu regclassđầu vào cho _tbl. Điều đó làm được tất cả mọi thứ quote_ident(_tbl)hoặc format('%I', _tbl)sẽ làm, nhưng tốt hơn, bởi vì:

• .. nó cũng ngăn chặn việc tiêm SQL .

• .. nó không thành công ngay lập tức và duyên dáng hơn nếu tên bảng không hợp lệ / không tồn tại / ẩn đối với người dùng hiện tại. (Một regclasstham số chỉ có thể áp dụng cho các bảng hiện có .)

• .. nó hoạt động với các tên bảng đủ điều kiện giản đồ, trong đó một bảng đơn giản quote_ident(_tbl)hoặc format(%I)sẽ không thành công vì chúng không thể giải quyết sự mơ hồ. Bạn sẽ phải chuyển và thoát khỏi tên lược đồ và bảng riêng biệt.

• Tôi vẫn sử dụng format(), bởi vì nó đơn giản hóa cú pháp (và để chứng minh cách nó được sử dụng), nhưng %sthay vì %I. Thông thường, các truy vấn phức tạp hơn nên format()sẽ giúp ích nhiều hơn. Đối với ví dụ đơn giản, chúng ta cũng có thể nối:

    EXECUTE 'SELECT (EXISTS (SELECT FROM ' || _tbl || ' WHERE id = 1))::int'
  

• Không cần xác định idcột trong bảng trong khi chỉ có một bảng duy nhất trong FROMdanh sách. Không có sự mơ hồ nào có thể có trong ví dụ này. (Động) Các lệnh SQL bên trong EXECUTEcó một phạm vi riêng biệt , các biến hoặc tham số hàm không hiển thị ở đó - trái ngược với các lệnh SQL thuần túy trong thân hàm.

Đây là lý do tại sao bạn luôn thoát khỏi đầu vào của người dùng cho SQL động đúng cách:

db <> fiddle ở đây minh họa SQL injection
_{Old sqlfiddle}

Nếu có thể, đừng làm điều này.

Đó là câu trả lời - đó là một kiểu chống đối. Nếu máy khách biết bảng mà nó muốn có dữ liệu, thì SELECT FROM ThatTable. Nếu một cơ sở dữ liệu được thiết kế theo cách mà điều này được yêu cầu, nó có vẻ như được thiết kế dưới mức tối ưu. Nếu một lớp truy cập dữ liệu cần biết liệu một giá trị có tồn tại trong bảng hay không, thì việc soạn SQL trong mã đó rất dễ dàng và việc đẩy mã này vào cơ sở dữ liệu là không tốt.

Đối với tôi, điều này có vẻ giống như việc lắp đặt một thiết bị bên trong thang máy, nơi người ta có thể gõ số tầng mong muốn. Sau khi nút Go được nhấn, nó sẽ di chuyển một bàn tay cơ học đến đúng nút của tầng mong muốn và nhấn nó. Điều này dẫn đến nhiều vấn đề tiềm ẩn.

Xin lưu ý: không có ý định chế nhạo, ở đây. Ví dụ về thang máy ngớ ngẩn của tôi là * thiết bị tốt nhất mà tôi có thể tưởng tượng * để chỉ ra ngắn gọn các vấn đề với kỹ thuật này. Nó thêm một lớp vô dụng của hướng, di chuyển lựa chọn tên bảng từ không gian người gọi (sử dụng DSL, SQL mạnh mẽ và được hiểu rõ) thành một kết hợp sử dụng mã SQL phía máy chủ khó hiểu / kỳ lạ.

Việc phân chia trách nhiệm như vậy thông qua chuyển động của logic xây dựng truy vấn thành SQL động làm cho mã khó hiểu hơn. Nó vi phạm một quy ước tiêu chuẩn và đáng tin cậy (cách truy vấn SQL chọn những gì cần chọn) dưới tên mã tùy chỉnh đầy tiềm ẩn lỗi.

Dưới đây là điểm chi tiết về một số vấn đề tiềm ẩn với phương pháp này:

• SQL động cung cấp khả năng chèn SQL mà khó có thể nhận ra trong mã giao diện người dùng hoặc mã kết thúc sau (người ta phải kiểm tra chúng cùng nhau để xem điều này).

• Các thủ tục và hàm được lưu trữ có thể truy cập tài nguyên mà chủ sở hữu SP / chức năng có quyền nhưng người gọi thì không. Theo như tôi hiểu, nếu không có sự quan tâm đặc biệt, thì theo mặc định khi bạn sử dụng mã tạo ra SQL động và chạy nó, cơ sở dữ liệu thực thi SQL động theo quyền của người gọi. Điều này có nghĩa là bạn sẽ không thể sử dụng các đối tượng đặc quyền hoặc bạn phải mở chúng cho tất cả các máy khách, làm tăng diện tích bề mặt của cuộc tấn công tiềm ẩn đối với dữ liệu đặc quyền. Đặt SP / chức năng tại thời điểm tạo để luôn chạy với tư cách người dùng cụ thể (trong SQL Server, EXECUTE AS) có thể giải quyết vấn đề đó, nhưng làm cho mọi thứ phức tạp hơn. Điều này làm trầm trọng thêm nguy cơ tiêm SQL được đề cập ở điểm trước, bằng cách biến SQL động trở thành một vectơ tấn công rất hấp dẫn.

• Khi một nhà phát triển phải hiểu mã ứng dụng đang làm gì để sửa đổi nó hoặc sửa lỗi, anh ta sẽ thấy rất khó để thực thi truy vấn SQL chính xác. Trình biên dịch SQL có thể được sử dụng, nhưng điều này có các đặc quyền đặc biệt và có thể có tác động tiêu cực đến hiệu suất trên hệ thống sản xuất. Truy vấn được thực thi có thể được ghi lại bởi SP nhưng điều này làm tăng độ phức tạp vì lợi ích đáng ngờ (yêu cầu cung cấp các bảng mới, xóa dữ liệu cũ, v.v.) và khá không rõ ràng. Trên thực tế, một số ứng dụng được cấu trúc sao cho nhà phát triển không có thông tin đăng nhập cơ sở dữ liệu, do đó, hầu như anh ta không thể thực sự thấy truy vấn đang được gửi.

• Khi xảy ra lỗi, chẳng hạn như khi bạn cố gắng chọn một bảng không tồn tại, bạn sẽ nhận được một thông báo dọc theo dòng "tên đối tượng không hợp lệ" từ cơ sở dữ liệu. Điều đó sẽ xảy ra hoàn toàn giống nhau cho dù bạn đang soạn SQL ở back end hay cơ sở dữ liệu, nhưng sự khác biệt là, một số nhà phát triển kém đang cố gắng khắc phục sự cố hệ thống phải kéo sâu thêm một cấp vào một hang khác bên dưới hang nơi vấn đề tồn tại, để đào sâu vào thủ tục kỳ diệu Có Tất cả để cố gắng tìm ra vấn đề là gì. Nhật ký sẽ không hiển thị "Lỗi trong GetWidget", nó sẽ hiển thị "Lỗi trong OneProcedureToRuleThemAllRunner". Sự trừu tượng này nói chung sẽ làm cho một hệ thống tồi tệ hơn .

Một ví dụ trong pseudo-C # về chuyển đổi tên bảng dựa trên một tham số:

string sql = $"SELECT * FROM {EscapeSqlIdentifier(tableName)};"
results = connection.Execute(sql);

Mặc dù điều này không loại bỏ mọi vấn đề có thể có trong tưởng tượng, nhưng những sai sót mà tôi đã nêu ra với kỹ thuật khác không có trong ví dụ này.

Bên trong mã plpgsql, câu lệnh EXECUTE phải được sử dụng cho các truy vấn trong đó tên bảng hoặc cột đến từ các biến. Ngoài ra, IF EXISTS (<query>)cấu trúc không được phép khi queryđược tạo động.

Đây là chức năng của bạn với cả hai sự cố đã được khắc phục:

CREATE OR REPLACE FUNCTION some_f(param character varying) RETURNS integer 
AS $$
DECLARE
 v int;
BEGIN
      EXECUTE 'select 1 FROM ' || quote_ident(param) || ' WHERE '
            || quote_ident(param) || '.id = 1' INTO v;
      IF v THEN return 1; ELSE return 0; END IF;
END;
$$ LANGUAGE plpgsql;

Đầu tiên không thực sự "hoạt động" theo nghĩa của bạn, nó chỉ hoạt động khi nó không tạo ra lỗi.

Hãy thử SELECT * FROM quote_ident('table_that_does_not_exist');, và bạn sẽ thấy tại sao hàm của bạn trả về 1: vùng chọn trả về một bảng có một cột (được đặt tên quote_ident) với một hàng (biến $1hoặc trong trường hợp cụ thể này table_that_does_not_exist).

Những gì bạn muốn làm sẽ yêu cầu SQL động, đây thực sự là nơi chứa các quote_*hàm được sử dụng.

Nếu câu hỏi là để kiểm tra xem bảng có trống hay không (id = 1), thì đây là phiên bản đơn giản của proc được lưu trữ của Erwin:

CREATE OR REPLACE FUNCTION isEmpty(tableName text, OUT zeroIfEmpty integer) AS
$func$
BEGIN
EXECUTE format('SELECT COALESCE ((SELECT 1 FROM %s LIMIT 1),0)', tableName)
INTO zeroIfEmpty;
END
$func$ LANGUAGE plpgsql;

Tôi biết đây là một chủ đề cũ, nhưng tôi đã xem qua nó gần đây khi cố gắng giải quyết vấn đề tương tự - trong trường hợp của tôi, đối với một số tập lệnh khá phức tạp.

Chuyển toàn bộ tập lệnh thành SQL động không phải là lý tưởng. Đó là công việc tẻ nhạt và dễ xảy ra lỗi, và bạn mất khả năng tham số hóa: các tham số phải được nội suy thành các hằng số trong SQL, gây hậu quả xấu cho hiệu suất và bảo mật.

Đây là một thủ thuật đơn giản cho phép bạn giữ nguyên SQL nếu bạn chỉ cần chọn từ bảng của mình - sử dụng SQL động để tạo một dạng xem tạm thời:

CREATE OR REPLACE FUNCTION some_f(_tbl varchar) returns integer
AS $$
BEGIN
    drop view if exists myview;
    execute format('create temporary view myview as select * from %s', _tbl);
    -- now you can reference myview in the SQL
    IF EXISTS (select * from myview where myview.id=1) THEN
     return 1;
    END IF;
    return 0;
END;
$$ language plpgsql;

Nếu bạn muốn tên bảng, tên cột và giá trị được chuyển động cho hàm dưới dạng tham số

sử dụng mã này

create or replace function total_rows(tbl_name text, column_name text, value int)
returns integer as $total$
declare
total integer;
begin
    EXECUTE format('select count(*) from %s WHERE %s = %s', tbl_name, column_name, value) INTO total;
    return total;
end;
$total$ language plpgsql;


postgres=# select total_rows('tbl_name','column_name',2); --2 is the value

Tôi có phiên bản 9.4 của PostgreSQL và tôi luôn sử dụng mã này:

CREATE FUNCTION add_new_table(text) RETURNS void AS
$BODY$
begin
    execute
        'CREATE TABLE ' || $1 || '(
        item_1      type,
        item_2      type
        )';
end;
$BODY$
LANGUAGE plpgsql

Và sau đó:

SELECT add_new_table('my_table_name');

Nó hoạt động tốt cho tôi.

Chú ý! Ví dụ trên là một trong những ví dụ hiển thị "Làm thế nào không nếu chúng tôi muốn giữ an toàn trong khi truy vấn cơ sở dữ liệu": P