从美国获取要选择的表名

Question

我的问题是我有一个SELECT查询，但是要从中选择数据的表需要由用户从HTML文件中指定。有人能提出一个办法吗？你知道吗

我正在查询postgres数据库，SQL查询在python文件中。你知道吗

Answer 1

创建一个变量table_name，并验证它只包含表名中允许的字符。然后将其放入SQL查询：

sql = "SELECT ... FROM {} WHERE ...".format(table_name) # replace ... with real sql

如果您不验证它，用户就会发送一些讨厌的东西，you run into risk。你知道吗