Tengo esto:
lista = [6575,7567,4545,6766,444,6565,66,54545,65456,666,1233]
consulta.execute("""SELECT Producto,
Numero_de_serie,
Fecha,
FROM test WHERE (Numero_de_serie = lista)
Quiero listar todos los productos que contengan solo y exclusivamente los números de serie de la lista lista
y ese código no me funciona.
Tampoco me funciona (Numero_de_serie = lista[0])
para listar solo ese número de serie ni tampoco (Numero_de_serie in (lista))
ni (Numero_de_serie in (lista[0],lista[1],lista[2]))
.
Podría ponerlos todos así: (Numero_de_serie in (6575,7567,4545,6766))
ya que esto sí funciona pero la lista real es de 20 o 30 números y además se introducen todos mediante un input
conformando la lista.
Cómo puedo solucionar este problema?
1 respuesta
Puedes formatear la query insertando dinámicamente el número parámetros en función de la longitud de la lista. Esto permite por otro lado mantenerla parametrizada para protegerse contra la inyección de código.
query_patt = """
SELECT
Producto,
Numero_de_serie,
Fecha
FROM test WHERE Numero_de_serie IN ({})
"""
lista = [6575, 7567, 4545, 6766, 444, 565, 66, 54545, 65456, 666, 1233]
query = query_patt.format(','.join('?' * len(lista)))
consulta.execute(query, lista)
Un ejemplo reproducible:
import os
import sqlite3
con = sqlite3.connect("test_db.sqlite3")
cur = con.cursor()
query = """
CREATE TABLE test (
Producto text NOT NULL,
Numero_de_serie integer NOT NULL
)
"""
cur.execute(query)
query = "INSERT INTO test (Producto, Numero_de_serie) VALUES (?, ?)"
cur.execute(query, ("Producto a", 1))
cur.execute(query, ("Producto b", 2))
cur.execute(query, ("Producto c", 3))
cur.execute(query, ("Producto d", 4))
cur.execute(query, ("Producto e", 5))
cur.execute(query, ("Producto f", 6))
con.commit()
query_patt = """
SELECT
Producto,
Numero_de_serie
FROM test WHERE Numero_de_serie IN ({})
"""
lista = [1, 2, 5, 4]
query = query_patt.format(','.join('?' * len(lista)))
cur.execute(query, lista)
print(cur.fetchall())
cur.close()
con.close()
os.remove("test_db.sqlite3")
-
Funciona! Gracias por tu respuesta. La cosa queda así adaptada a mi código:
lista = [6575,7567,4545,6766,444,6565,66,54545,65456,666,1233] consulta.execute("""SELECT Producto, Numero_de_serie, Fecha FROM test WHERE (Numero_de_serie IN ({})).format(','.join('?' * len(lista))),lista)
– Toni el 25 sep. 18 a las 17:47 -
Siento que el código sea algo ilegible pero no me está funcionando lo de los 4 espacios para formatear el comentario. – Toni el 25 sep. 18 a las 17:49
-
Otra cosa que también funciona: Funciona! Gracias por tu respuesta. La cosa queda así adaptada a mi código:
lista = [6575,7567,4545,6766,444,6565,66,54545,65456,666,1233] consulta.execute("""SELECT Producto, Numero_de_serie, Fecha FROM test WHERE (Numero_de_serie IN {})""".format(str(tuple(listaNumSerie))))
– Toni el 25 sep. 18 a las 17:53 -
En el comentario donde he puesto que funciona, faltan las tres
"""
por lo que quedaría asi:(Numero_de_serie IN ({}))""".format
y en el comentario anterior a este, cambiarlistaNumSerie
porlista
. Esto de que no te deje editar pasados los 5 minutos es un completo error. Casi no te da opción a tener ningún error bajo pena de tener que añadir comentarios adicionales. – Toni el 25 sep. 18 a las 17:58 -
Hola Toni, la segunda
(."""... Numero_de_serie IN {})""".format(str(tuple(listaNumSerie)))))
funciona pero no parametrizas la query por lo que dependiendo de donde venga la tupla puede ser peligroso por ser susceptible de ataques de inyección de código. Si se usa hay que estar seguro de que la lista es segura o sanearla primero ya que en este caso SQL no nos protege. Un saludo. – FJSevilla el 25 sep. 18 a las 19:36
sqlite3.OperationalError: no such table: lista
. – Toni el 24 sep. 18 a las 20:38