utilisation de l'instruction : string % (liste arguments)

Bonjour,
Je viens de tomber sur un cas qui me pose problème.
Je traite une liste de requetes sql en tant que liste de string et je remplace les %s de ma requete par les valeurs attendues. J'airencontré le cas suivant :

Code:

---

req = "select count(*) from airport where airport_name='%s' and point_name = 'DUMM%' " % ('LFPG')

---

et j'ai une erreur détectée :

Code:

---

TypeError : not enough arguments for fomat string

---

donc le '%' de la string 'DUMM%' est pris comme début de format ... ce n'est pas trop logique à mon sens et réduit considérablement l'utilisation de l'instruction "string % (arguments)".
La seule solution de contournement que je vois est de remplacer moi même les %s par mes arguments ... a moins qu vous y voyez une autre possibilité ?
Merci de votre aide

Bonjour,

Code:

---

req = "select count(*) from airport where airport_name='%s' and point_name = 'DUMM%%' " % ('LFPG')

---

Code:

---

1 2	>>> req "select count(*) from airport where airport_name='LFPG' and point_name = 'DUMM%' "

---

@+

merci, mais que cela signifie t'il ? qu'il faut doubler le % pour qu'il n'interfère pas ?
Le souci dans mon cas est que le 'DUMM%' m'est fourni tel que (le % a un sens dans Oracle) et je ne dois pas en changer le sens, seules les valeurs à instancier (repéré par %s) sont censés être modifiables.
J'ai choisi la solution de contournement un peu bourrin qui consiste à remplacer les %s par les bonnes valeurs en utilisant string.replace().

Oui, le double % s’échappe lui-même (comme avec le \, d’ailleurs…).

De toute façon, il me semble qu’il n’est pas conseillé d’utiliser ce genre de pratiques en SQL, ça peut très vite devenir des autoroutes à injection… Pourquoi ne pas utiliser le mécanisme SQL prévu dans ce cas-là (le ? si je me rappelle bien…)*? Là, c’est le moteur SQL qui se charge de la substitution, et donc interdit toute tentative d’injection…

Citation:

---

Envoyé par awalter1

J'ai choisi la solution de contournement un peu bourrin qui consiste à remplacer les %s par les bonnes valeurs en utilisant string.replace().

---

C'est effectivement un peu "bourrin".

Car avec:

Code:

---

1 2	t = "select count(*) from airport where airport_name='%s' and point_name = 'DUMM%'" req = t % ('LFPG')

---

essaie de remplacer dès que '%' est rencontré.

Normalement la DBAPI (implémentée par le driver Oracle utilisée) définit une méthode pour éviter les "collisions" entre des chaînes paramétrables au sens Python et le celles de la query.

C'est de la forme:

Code:

---

1 2 3 4

qry = """select count(*) from airport            where airport_name = :airport_name and            point_name = :point_name""" .execute(qry, airport_name='LFPG', point_name='DUMM%')

---

Notez que dans "airport_name=:airport_name" on ne force plus l'argument à être "string" => on laisse le driver convertir le type "Python" dans le type "Oracle" qui va bien.

- W

Je viens de m'apercevoir que la syntaxe n'est pas <!='DUMM%'>
mais <not like 'DUMM%'>

Merci à wiztricks, je ne connaissais pas le mécanisme de substitution proposé par le driver d'interface (dans mon cas cx_Oracle), j'ai testé, ça marche
:ccool:

Citation:

---

Envoyé par awalter1

Je viens de m'apercevoir que la syntaxe n'est pas <!='DUMM%'> mais <not like 'DUMM%'>

---

Ce n'est pas, ici, un problème de "syntaxe" mais d'une requête différente.

Citation:

---

je ne connaissais pas le mécanisme de substitution proposé par le driver d'interface (dans mon cas cx_Oracle), j'ai testé, ça marche

---

Vous pouvez aussi y "mélanger" un autre mécanisme de substitution.
En écrivant:

Code:

---

1 2 3 4 5 6

def selectXYZ(c, airport_name, point_name='DUMM%'): qry = """select count(*) from airport            where airport_name = :airport_name and            point_name = :point_name""" rows = c.execute(qry, vars()) return...

---

Le nom des paramètres de la fonction sert à renseigner le "dict" vars() - un alias de locals() - et éventuellement y mettre des valeurs par défaut.
- W