python ajoute "E" à chaîne

Question

Cette chaîne:

"CREATE USER %s PASSWORD %s", (user, pw) 

obtient toujours étendu à:

CREATE USER E'someuser' PASSWORD E'somepassword' 

Quelqu'un peut-il me dire pourquoi?

Modifier: La chaîne développée ci-dessus est la chaîne que ma base de données me renvoie dans le message d'erreur. J'utilise psycopg2 pour accéder à ma base de données postgres. Le vrai code ressemble à ceci:

conn=psycopg2.connect(user=adminuser, password=adminpass, host=host) 
cur = conn.cursor() 

#user and pw are simple standard python strings the function gets as parameter 
cur.execute("CREATE USER %s PASSWORD %s", (user, pw)) 
conn.commit() 

Answer 1

Non seulement le E mais les citations semblent provenir de tout type d'utilisateur et de pw. % s fait simplement ce que str() fait, qui peut revenir à repr(), les deux ayant des méthodes correspondantes __str__ et __repr__. En outre, ce n'est pas le code qui génère votre résultat (je supposais qu'il y avait un%, mais maintenant voir seulement une virgule). Veuillez développer votre question avec le code, les types et les valeurs réels.

Addendum: Considérant qu'il ressemble à SQL, je risque de deviner que vous voyez escape string constants, probablement généré correctement par votre module d'interface de base de données ou bibliothèque.

Answer 2

En tant que modification de l'OP révèle qu'il utilise PostgreSQL, the docs pour sont pertinents, et ils disent:

PostgreSQL accepte aussi « échapper » constantes de chaîne, qui sont une extension à la norme SQL. Une constante de chaîne d'échappement est spécifiée par en écrivant la lettre E (case supérieure ou inférieure) juste avant la première citation , par ex. E'foo '.

En d'autres termes, psycopg est la génération correctement les constantes de chaîne d'échappement pour vos cordes (de sorte que, comme les docs disent aussi:

Au sein d'une chaîne d'échappement, une barre oblique inverse caractère() commence un C -comme séquence d'échappement barre oblique inverse, dans lequel la combinaison de barre oblique inverse et caractère suivant (s) représente une valeur d'octet spécial.

(qui, en l'occurrence, sont aussi les conventions d'échappement des littéraux de chaîne Python non-raw).

L'erreur de l'OP n'a clairement rien à voir avec cela, et, outre l'excellente idée d'étudier les excellents docs de PostgreSQL, il ne devrait pas s'inquiéter de cette forme E'...' dans ce cas ;-).

Answer 3

Avant d'essayer quelque chose comme:

statement = "CREATE USER %s PASSWORD %s" % (user, pw) 

S'il vous plaît vous assurer de lire: http://www.initd.org/psycopg/docs/usage.html

Fondamentalement, le problème est que si vous acceptez l'entrée d'utilisateur (je suppose donc que quelqu'un entre dans l'utilisateur & pw) vous vous exposez probablement à l'injection SQL.

Comme psycopg2 déclare:

Warning Never, never, NEVER use Python string concatenation (+) or string parameters interpolation (%) to pass variables to a SQL query string. Not even at gunpoint. 

Comme il a été identifié, Postgres (ou psycopg2) ne semble pas fournir une bonne réponse à s'échapper identifiants. À mon avis, la meilleure façon de résoudre cela est de fournir une méthode de filtrage «liste blanche».

Par exemple: Identifiez les caractères autorisés dans un 'utilisateur' et un 'pw'. (peut-être A-Za-z0-9_). Veillez à ne pas inclure de caractères d'échappement ('ou,, etc.) ou, si vous le faites, à éviter ces valeurs.

Answer 4

Pour transmettre des identifiants à PostGreSQL par l'utilisation psycopg AsIs à partir du module extensions

from psycopg2.extensions import AsIs 
import psycopg2 
connection = psycopg2.connect(database='db', user='user') 
cur = connection.cursor() 
cur.mogrify(
    'CREATE USER %s PASSWORD %s', (AsIs('someuser'), AsIs('somepassword')) 
    ) 
'CREATE USER someuser PASSWORD somepassword' 

Cela fonctionne aussi pour les conditions passage aux clauses comme order by:

cur.mogrify(
    'select * from t order by %s', (AsIs('some_column, another column desc'),) 
    ) 
'select * from t order by some_column, another column desc'