Início / dba / Perguntas / 333455
Accepted
Zaki
Asked: 2023-11-25 16:09:58 +0800 CST

Criar VIEW usando EXECUTE ignora o parâmetro da cláusula USING?

  • 772

Estou tentando criar uma UDF que crie um recurso de cláusula VIEWdinamicamente usando o USINGrecurso. O problema é que EXECUTEnão aceitará o parâmetro passado no CREATE VIEWcomando.

CREATE OR replace FUNCTION test(name varchar) RETURNS void LANGUAGE plpgsql AS $$
BEGIN
    EXECUTE format('create or replace view %I as select $1 as id limit 1;',$1) using $1;
    RETURN;
END
$$;

Teste:

select test('tabel_view');

Saída atual:

Erro SQL [42P02]: ERRO: não há parâmetro $1
Onde: teste de função PL/pgSQL (caractere variável) linha 3 em EXECUTE

O mesmo funciona para CREATE TABLE:

CREATE OR REPLACE FUNCTION test(name varchar) RETURNS void LANGUAGE plpgsql AS $$
BEGIN
    EXECUTE format('create table %I as select $1 as id limit 1;',$1) using $1;
    RETURN;
END
$$;

Estou tentando dessa maneira porque a concatenação de strings é propensa à injeção de SQL. Além disso, a UDF em que estou trabalhando terá um array como entrada.

Alguma ideia de como resolver esse problema?

postgresql

1 respostas

  1. Best Answer

    A USINGcláusula de EXECUTEserve para passar valores para comandos DML ("comandos utilitários"). O manual:

    Outra restrição aos símbolos de parâmetro é que eles funcionam apenas em comandos SQL otimizáveis ​​( SELECT, INSERT, UPDATE, DELETE, MERGEe determinados comandos contendo um deles). Em outros tipos de instruções (genericamente chamadas de instruções utilitárias), você deve inserir valores textualmente, mesmo que sejam apenas valores de dados.

    Não funciona com comandos DDL como CREATE VIEW. A SELECTinstrução in CRATE TABLEé diferente porque é tratada (e executada) como uma SELECTinstrução aninhada real, onde a interpolação de parâmetros é implementada. Ele se enquadra em "certos comandos contendo um destes" .

    Concatene o valor como string literal:

    CREATE OR REPLACE PROCEDURE test(name text)
  LANGUAGE plpgsql AS
$proc$
BEGIN
   EXECUTE format('CREATE OR REPLACE VIEW %1$I AS SELECT %1$L AS id;', $1);
END
$proc$;

CALL test('My View');  -- example with evil name

    violino

    O padrão da string literal é type text. Adicione uma conversão de tipo explícita se precisar de um tipo diferente - como para um tipo de array que você mencionou.

    ...
EXECUTE format('CREATE VIEW %1$I AS SELECT %1$L::text[] AS id;', $1);
...
    • 1

relate perguntas