0

Una parte de mi código falla si el nombre que inserto como argumento (tanque) en la función que copio a continuación no empieza con una letra. Eso que se inserta viene de otra parte del código y esta almacenado como una StringVar() llamada tanquevar e ingresada como tanquevar.get(). Alguien sabe porque puede pasar esto?

Copio el codigo

def funcion_insertar(tanque, caja, lista): #esta funcion crea la tabla, inserta el plano asociado al numero de caja
    con = sqlite3.connect("base.db") #conecto a la base
    c = con.cursor() #defino el cursor
    c.execute("PRAGMA synchronous = OFF")
    c.execute("PRAGMA jounal_mode = OFF")
    c.execute("CREATE TABLE if not exists "+str(tanque)+ " (Nrocaja TEXT, Plano BLOB)") #Crea la tabla
    c.execute("INSERT INTO "+tanque+ " (Nrocaja, Plano) VALUES('%s', '%s')" % (caja, lista)) #inserta
    con.commit() #guarda
    con.close() #lo cierro

2 respuestas 2

2

Para que la sintaxis de la query sea correcta debes entrecomillar el nombre de la tabla en ella, en sqlite3 tanto comillas dobles ("") como [] son válidos:

c.execute('CREATE TABLE if not exists "' + tanque + '" (Nrocaja TEXT, Plano BLOB)')
c.execute('INSERT INTO "' + tanque + '" (Nrocaja, Plano) VALUES(?, ?)',  (caja, lista))

c.execute("CREATE TABLE if not exists [" + tanque + "] (Nrocaja TEXT, Plano BLOB)")
c.execute("INSERT INTO [" + tanque + "] (Nrocaja, Plano) VALUES(?, ?)", (caja, lista))

El concatenado de más de dos cadenas en Python es eficiente y la mayoría de las veces bastante ilegible. Puedes usar formateo de cadenas con str.format/format o si usas Python >=3.6 usar un f-string:

c.execute(f'CREATE TABLE if not exists "{tanque}" (Nrocaja TEXT, Plano BLOB)')
c.execute(f'INSERT INTO "{tanque}" (Nrocaja, Plano) VALUES(?, ?)',  (caja, lista))

Como norma general no debes usar formateo de cadenas o concatenación propios de Python para construir la query, debes siempre parametrizarla. Con ello dejas la puerta abierta a ataques de inyección de código.

El nombre de la tabla no es parametrizable, pero puedes validar que la cadena sea segura de muchas formas, dependiendo de tu caso concreto. Por ejemplo, si sabes que tanque tiene unos valores válidos predeterminados, puedes crear una whitelist con ellos e impedir la consulta de no ser válido el nombre.

1
  • Muchísimas gracias! Por responder la pregunta y ademas educarme un poco. El código funciona a la perfección y ahora se que es más seguro.
    – DiegoR
    el 6 ago. 2019 a las 18:09
1

No encontre documentación fehaciente, ya que segun el manual de sqlite los unicos nombres de tablas prohibidos, son aquellos que comienzan con "sqlite_".

Pero si encontre referencias en varias páginas que dicen que no se aceptan nombres que no empiecen con una letra.

Sin embargo, tambien encontre que segun el standar de sql, podes escapar los caracteres usando " (comillas dobles).

Entonces, podrias escribir tu create como:

create table "123mitabla"...
2
  • lo mas probable es por el standar no le deje crear las tablas pero la verdad hasta lo veo como una mala practica dejar que se creen tablas iniciando con un número
    – DavElsanto
    el 6 ago. 2019 a las 17:15
  • 1
    no esta en mi juzgarlo ;)
    – gbianchi
    el 6 ago. 2019 a las 17:16

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.