如何使用带有 IN 子句的 SQL 参数来获取 pyodbc 的可变数量的值？

Question

我有一个值列表，我想在要使用INpyodbc 执行的 SQL (SQL Server) 语句的子句中使用这些值。例子：

files = ['file1', 'file2', ...]  # this list can have a variable number of elements
con = pyodbc.connect(...)

# What I'd like to do
result = con.cursor().execute('SELECT * FROM sometable WHERE file_name IN (?)', files)

但是，当我执行上面的语句时，出现如下错误：

ProgrammingError:('SQL 包含 1 个参数标记，但提供了 18 个参数'，'HY000'）

我可以使用以下内容生成可变参数字符串：

params = ','.join(['?']*len(files))
query = 'SELECT * FROM sometable WHERE file_name IN ({})'.format(params)
result = con.cursor().execute(query, files)

但是如果我理解正确的话，这样做会使我面临 SQL 注入的风险。有没有办法安全地做到这一点？

Answer 1

您可以使用 JSON 将列表传递给 SQL Server。例如

import numpy as np
import pandas as pd
import pyodbc
import json 

files = ['file1', 'file2', 'file3']  # this list can have a variable number of elements
json_files = json.dumps(files)
print(json_files)
conn = pyodbc.connect('Driver={Sql Server};'
                      'Server=localhost;'
                      'Database=tempdb;'
                      'Trusted_Connection=yes;')

cursor = conn.cursor()

cursor.execute("create table #sometable(id int, file_name varchar(255)); insert into #sometable(id,file_name) values (1,'file2')")
# What I'd like to do
result = cursor.execute('SELECT * FROM #sometable WHERE file_name IN (select value from openjson(?))', json_files)
rows = cursor.fetchall()
print(rows)