使用 dart 和 postgresql 按查询排序

Question

使用 dart 和 postresql 驱动程序运行此查询时

  getPost(int limit, int offset, String order_by){
    connect(uri).then((conn){
      conn.query('''select * from posts
                    order by @order_by
                    limit @limit offset @offset''', {'limit': limit, 'offset': offset, 'order_by': order_by})
                    .toList()
                    .then((rows){
        print(rows);
      })
      .whenComplete(() => conn.close());
    })
    .catchError((err) => print('Error in getPost: $err'));
  }

我收到了Error: 42601 non-integer constant in ORDER BY。

上面的代码是一个辅助类的方法。我使用以下代码运行它。

dbUtil.getPost(10, 10, "posted_at");

我读到here postgresql 需要一个字符串文字。这就是为什么我也尝试了这个代码dbUtil.getPost(10, 10, r"posted_at");，但没有成功。 如果我将@order_by 替换为posted_at，则查询会正确返回值。

有人知道如何解决这个问题吗？

受以下答案启发的工作代码。

  getPost(int limit, int offset, String order_by){
    connect(uri).then((conn){
      var sb = new StringBuffer();
      sb.write("select * from posts ");
      sb.write(order_by);
      sb.write(" limit @limit offset @offset"); 
      String query = sb.toString();
      conn.query(query, {'limit': limit, 'offset': offset})
                    .toList()
                    .then((rows){
        print(rows);
      })
      .whenComplete(() => conn.close());
    })
    .catchError((err) => print('Error in getPost: $err'));
  }

Answer 1

我认为 SQL 标准不支持将绑定变量用于列名（表名、索引名等）。这些名称需要在 SQL 语句中使用例如字符串连接或插值进行硬编码。

但请确保您不要在此处使用来自用户输入的任何值和/或进行适当的验证和健全性检查，以免引入任何 SQL 注入后门。

PostgreSql 包不处理您传递执行的 SQL，它仅将其以所需格式转发到数据库并解析结果（目前不正确，但它应该以这种方式工作，请参阅下面的评论）。

一个例子：

bool isValidSqlColumnName(String columnName) {
  return new RegExp(r'^[a-zA-Z_][a-zA-Z0-9_]*$').hasMatch(columnName);
}

getPost(int limit, int offset, String order_by){
    if(!isValidSqlColumnName(order_by)) {
      throw 'Only valid column names are accepted.';
    }
    connect(uri).then((conn){
      conn.query('''select * from posts
                    order by $order_by
                    limit @limit offset @offset''', {'limit': limit, 'offset': offset, 'order_by': order_by})
                    .toList()
                    .then((rows){
        print(rows);
      })
      .whenComplete(() => conn.close());
    })
    .catchError((err) => print('Error in getPost: $err'));
  }