Discussion :

[awalter1]

Bonjour,
Je viens de tomber sur un cas qui me pose problème.
Je traite une liste de requetes sql en tant que liste de string et je remplace les %s de ma requete par les valeurs attendues. J'airencontré le cas suivant :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

req = "select count(*) from airport where airport_name='%s' and point_name = 'DUMM%' " % ('LFPG')

et j'ai une erreur détectée :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

TypeError : not enough arguments for fomat string

donc le '%' de la string 'DUMM%' est pris comme début de format ... ce n'est pas trop logique à mon sens et réduit considérablement l'utilisation de l'instruction "string % (arguments)".
La seule solution de contournement que je vois est de remplacer moi même les %s par mes arguments ... a moins qu vous y voyez une autre possibilité ?
Merci de votre aide

[PauseKawa]

Bonjour,

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

req = "select count(*) from airport where airport_name='%s' and point_name = 'DUMM%%' " % ('LFPG')

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
>>> req
"select count(*) from airport where airport_name='LFPG' and point_name = 'DUMM%' "

@+

[awalter1]

merci, mais que cela signifie t'il ? qu'il faut doubler le % pour qu'il n'interfère pas ?
Le souci dans mon cas est que le 'DUMM%' m'est fourni tel que (le % a un sens dans Oracle) et je ne dois pas en changer le sens, seules les valeurs à instancier (repéré par %s) sont censés être modifiables.
J'ai choisi la solution de contournement un peu bourrin qui consiste à remplacer les %s par les bonnes valeurs en utilisant string.replace().

[mont29]

Oui, le double % s’échappe lui-même (comme avec le \, d’ailleurs…).

De toute façon, il me semble qu’il n’est pas conseillé d’utiliser ce genre de pratiques en SQL, ça peut très vite devenir des autoroutes à injection… Pourquoi ne pas utiliser le mécanisme SQL prévu dans ce cas-là (le ? si je me rappelle bien…)*? Là, c’est le moteur SQL qui se charge de la substitution, et donc interdit toute tentative d’injection…

[wiztricks]

J'ai choisi la solution de contournement un peu bourrin qui consiste à remplacer les %s par les bonnes valeurs en utilisant string.replace().

C'est effectivement un peu "bourrin".

Car avec:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
t = "select count(*) from airport where airport_name='%s' and point_name = 'DUMM%'"
req = t % ('LFPG')

essaie de remplacer dès que '%' est rencontré.

Normalement la DBAPI (implémentée par le driver Oracle utilisée) définit une méthode pour éviter les "collisions" entre des chaînes paramétrables au sens Python et le celles de la query.

C'est de la forme:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
qry = """select count(*) from airport 
           where airport_name = :airport_name and 
           point_name = :point_name"""
.execute(qry, airport_name='LFPG', point_name='DUMM%')

Notez que dans "airport_name=:airport_name" on ne force plus l'argument à être "string" => on laisse le driver convertir le type "Python" dans le type "Oracle" qui va bien.

- W

[awalter1]

Je viens de m'apercevoir que la syntaxe n'est pas <!='DUMM%'>
mais <not like 'DUMM%'>

Merci à wiztricks, je ne connaissais pas le mécanisme de substitution proposé par le driver d'interface (dans mon cas cx_Oracle), j'ai testé, ça marche

[wiztricks]

Je viens de m'apercevoir que la syntaxe n'est pas <!='DUMM%'> mais <not like 'DUMM%'>

Ce n'est pas, ici, un problème de "syntaxe" mais d'une requête différente.

je ne connaissais pas le mécanisme de substitution proposé par le driver d'interface (dans mon cas cx_Oracle), j'ai testé, ça marche

Vous pouvez aussi y "mélanger" un autre mécanisme de substitution.
En écrivant:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
def selectXYZ(c, airport_name, point_name='DUMM%'):
    qry = """select count(*) from airport 
           where airport_name = :airport_name and 
           point_name = :point_name"""
    rows = c.execute(qry, vars())
    return...

Le nom des paramètres de la fonction sert à renseigner le "dict" vars() - un alias de locals() - et éventuellement y mettre des valeurs par défaut.
- W