Python 语法 : Subprocess Call PostgreSQL Query, "Error: Only ASCII Characters Allowed"

Question

我在 python 中使用以下代码，使用 subprocess 调用 PostgreSQL 查询:

import subprocess
claimer_name = 'a_name'
startdate = '2014-04-01'
enddate = '2018-04-01' 

data = subprocess.check_output(['/usr/bin/psql -U user_name "SELECT c.asset_id, c.video_id,
c.claim_id, c.claim_date FROM db.claim c JOIN db.claim_history h ON c.claim_id = h.claim_id JOIN
db.users_email e ON LOWER(e.email) = LOWER(h.email) JOIN m.auth_user u ON e.user_id = u.id WHERE
h.list_order = 1 AND c.claim_origin = ‘Descriptive Search’ AND c.claim_date >= \"%s\" AND    
c.claim_date < \"%s\" AND concat(u.first_name, concat(chr(32),
u.last_name)) = \"%s\""' % (startdate, enddate, claimer_name)], shell=True)

如何转义“描述性搜索”周围的单引号？按原样运行此代码会出现错误 Only ASCII characters are allowed in an identifier.

我试过:

1. [''描述性搜索'']
2. [\'描述性搜索\']
3. [""描述性搜索""]
4. [concat('描述性', concat(chr(32), 'Search'))]

并分配一个变量:i = 'Descriptive Search'，然后是 c.claim_origin =\"%s\"。

但是，这些尝试会产生相同的 ASCII 字符 错误。对于我的其他变量(startdate、enddate、claimer_name)，使用字符串格式化效果很好，但我很困惑为什么它不行为字符串 'Descriptive Search' 工作。

使用 PostgreSQL 9.3。

任何帮助或指向正确方向的观点都会很棒；谢谢!

Answer 1

这有很多问题。

• 你应该使用 psycopg2而不是试图掏空psql与数据库对话；

• 因为您没有使用正确的数据库绑定(bind)，所以您无法正确使用放置参数(准备好的语句)，因此您必须自己处理文字转义以避免 SQL injection风险和引用错误；

• 通过 subprocess 调用命令时, 尽可能避免使用 shell。这是另一个可能的失败点，在这种情况下完全没有必要；

• 长字符串一般应该是"""在 Python 中引用以避免需要转义嵌套 " s;

• 表达式concat(u.first_name, concat(chr(32), u.last_name))被不必要地扭曲了。就写u.first_name || ' ' || u.last_name或 format('%s %s', u.first_name, u.last_name) ;

• 您正在使用 "double quotes"引用您替换的文字，这是无效的 SQL。根据文档，它们将被视为标识符。所以c.claim_date < \"%s\"将失败并出现类似 no column "2014-04-01" 的错误;

• 在引用 ‘Descriptive Search‘ 时，您使用的是真正的单引号，而不是撇号.猜测您是在文字处理器中编辑代码，而不是在程序员的文本编辑器中。你想要撇号，'Descriptive Search' , 在 SQL 中引用文字时。

因为您使用单引号字符 (U+2018) 而不是撇号 (U+0027) 来引用文字字符串 Descriptive Search , PostgreSQL 没有将其识别为文字并试图将其解析为标识符。然而，‘在未加引号的标识符中不是合法字符，因此它报告了您显示的错误。

参见 the documentation on identifiers and literals .

这是你应该做的:

import psycopg2
import datetime
claimer_name = 'a_name'
startdate = datetime.date(2014, 1, 1)
enddate = datetime.date(2018, 1, 1)

conn = psycopg2.connect("user=user_name")
curs = conn.cursor()
curs.execute("""
    SELECT 
        c.asset_id,
        c.video_id,
        c.claim_id,
        c.claim_date
    FROM db.claim c 
         JOIN db.claim_history h ON c.claim_id = h.claim_id 
         JOIN db.users_email e ON LOWER(e.email) = LOWER(h.email) 
         JOIN m.auth_user u ON e.user_id = u.id 
    WHERE h.list_order = 1 
      AND c.claim_origin = 'Descriptive Search'
      AND c.claim_date >= %s 
      AND c.claim_date < %s
      AND u.first_name || ' ' || u.last_name = %s
    """, (startdate, enddate, claimer_name)
)
results = curs.fetchall()

请特别注意我没有使用 Python 的 %上面的字符串格式化运算符。 %s条目是由 psycopg2 正确替换的放置参数；见passing parameters to SQL queries .