대부분의 경우 SQLAlchemy 문 또는 쿼리의 "문자열"은 다음과 같이 간단합니다.
print str(statement)
이것은 ORM Query뿐만 아니라 select()다른 진술 에도 적용됩니다 .
참고 : 다음 자세한 답변은 sqlalchemy 설명서 에서 유지 관리됩니다 .
명령문을 특정 방언 또는 엔진에 컴파일 된 것으로 가져 오려면 명령문 자체가 아직 바인딩되지 않은 경우이를 compile () 에 전달할 수 있습니다 .
print statement.compile(someengine)
또는 엔진이없는 경우 :
from sqlalchemy.dialects import postgresql
print statement.compile(dialect=postgresql.dialect())
ORM Query객체가 주어지면 compile()메소드 를 얻으려면 먼저 .statement 접근 자만 액세스하면 됩니다 .
statement = query.statement
print statement.compile(someengine)
바운드 매개 변수가 최종 문자열에 "인라인"되어야한다는 원래 규정과 관련하여 여기서 해결해야 할 과제는 SQLAlchemy가 일반적으로이 작업을 수행하지 않는 것입니다. 아마도 현대 웹 애플리케이션에서 가장 널리 이용되는 보안 허점 일 것입니다. SQLAlchemy는 DDL을 방출하는 것과 같은 특정 상황에서 이러한 엄격화를 수행하는 능력이 제한되어 있습니다. 이 기능에 액세스하기 위해 'literal_binds'플래그를 사용할 수 있습니다 compile_kwargs.
from sqlalchemy.sql import table, column, select
t = table('t', column('x'))
s = select([t]).where(t.c.x == 5)
print s.compile(compile_kwargs={"literal_binds": True})
위의 접근 방식은 int 및 string과 같은 기본 유형에서만 지원된다는 경고가 있습니다. bindparam
, 사전 설정 값이없는 직접 사용하는 지정할 수 없습니다.
지원되지 않는 유형에 대한 인라인 리터럴 렌더링을 지원하려면 메소드 TypeDecorator가 포함 된 대상 유형에 대해를
구현하십시오 TypeDecorator.process_literal_param.
from sqlalchemy import TypeDecorator, Integer
class MyFancyType(TypeDecorator):
impl = Integer
def process_literal_param(self, value, dialect):
return "my_fancy_formatting(%s)" % value
from sqlalchemy import Table, Column, MetaData
tab = Table('mytable', MetaData(), Column('x', MyFancyType()))
print(
tab.select().where(tab.c.x > 5).compile(
compile_kwargs={"literal_binds": True})
)
다음과 같은 출력을 생성합니다.
SELECT mytable.x
FROM mytable
WHERE mytable.x > my_fancy_formatting(5)
sqlalchemy.engine로그를 활용하여 덜 취약한 솔루션을 구축 할 수 있습니다. 쿼리 및 바인드 매개 변수를 기록하므로 바인드 자리 표시자를 쉽게 구성된 SQL 쿼리 문자열의 값으로 바꾸면됩니다.