蟒蛇加 「E」 串

Question

這個字符串：

"CREATE USER %s PASSWORD %s", (user, pw) 

總是被擴展爲：

CREATE USER E'someuser' PASSWORD E'somepassword' 

誰能告訴我爲什麼？

編輯： 上面展開的字符串是我的數據庫讓我回到錯誤消息中的字符串。我使用psycopg2來訪問我的postgres數據庫。真實代碼如下所示：

conn=psycopg2.connect(user=adminuser, password=adminpass, host=host) 
cur = conn.cursor() 

#user and pw are simple standard python strings the function gets as parameter 
cur.execute("CREATE USER %s PASSWORD %s", (user, pw)) 
conn.commit() 

Answer 1

不僅E，而且引號似乎來自任何類型的用戶和pw都有。 ％s只是做str（）做的事情，可能會回到repr（），兩者都有相應的方法__str__和__repr__。此外，這不是產生你的結果的代碼（我假設有一個％，但現在只看到一個逗號）。請用實際的代碼，類型和值擴展你的問題。

附錄：考慮到它看起來像SQL，我猜測你會看到escape string constants，可能是由數據庫接口模塊或庫正確生成的。

Answer 2

由於OP的編輯透露他使用PostgreSQL，the docs它是相關的，他們說：

的PostgreSQL還接受「逃離」 字符串常量，這是一個 擴展到SQL標準。 轉義字符串常量由 指定，例如在開頭的單個 報價（例如，英文字母）之前寫入字母E（大寫或小寫 ）。 E'foo」。

換句話說，psycopg正確生成的字符串轉義字符串常量（因此，作爲文檔也說：

在轉義字符串，反斜槓 字符（）開始一個C樣 反斜槓轉義序列，其中 反斜線和 下面的字符（或多個）的組合代表一個特殊 字節值。

（它正好也是非原始Python字符串文字的轉義約定）。

OP的錯誤顯然與此無關，除了研究PostgreSQL的優秀文檔的出色想法之外，在這種情況下，他不應該擔心這種形式的E'...' ;-)。

Answer 3

之前嘗試喜歡的東西：

statement = "CREATE USER %s PASSWORD %s" % (user, pw) 

請確保您閱讀：http://www.initd.org/psycopg/docs/usage.html

基本上問題是，如果你是接受用戶輸入（我假設，從而有人在用戶進入& PW ）你可能會開放SQL注入。

由於PsyCopg2指出：

Warning Never, never, NEVER use Python string concatenation (+) or string parameters interpolation (%) to pass variables to a SQL query string. Not even at gunpoint. 

由於已經確定，Postgres的（或Psycopg2）似乎並沒有提供一個很好的答案逃逸標識符。在我看來，解決這個問題的最好方法是提供一個「白名單」過濾方法。

ie：確定'user'和'pw'中允許使用哪些字符。 （也許是A-ZA-Z0-9_）。小心你不要包含轉義字符（'或;等），或者如果你這樣做，你逃避了這些值。

Answer 4

要通過標識符從extensions模塊

from psycopg2.extensions import AsIs 
import psycopg2 
connection = psycopg2.connect(database='db', user='user') 
cur = connection.cursor() 
cur.mogrify(
    'CREATE USER %s PASSWORD %s', (AsIs('someuser'), AsIs('somepassword')) 
    ) 
'CREATE USER someuser PASSWORD somepassword' 

這一工程也傳遞條件子句像order by通過psycopg使用AsIs到PostgreSQL：

cur.mogrify(
    'select * from t order by %s', (AsIs('some_column, another column desc'),) 
    ) 
'select * from t order by some_column, another column desc'