美文网首页Django入门开发实战
Django之SQL从句中注入新子句

Django之SQL从句中注入新子句

作者: 乔治大叔 | 来源:发表于2019-02-10 15:16 被阅读80次

extra

有些情况下,Django的查询语法难以简单的表达复杂的 WHERE 子句,对于这种情况, Django 提供了 extra() QuerySet修改机制 — 它能在 QuerySet生成的SQL从句中注入新子句

extra可以指定一个或多个 参数,例如 select, where or tables. 这些参数都不是必须的,但是你至少要使用一个!要注意这些额外的方式对不同的数据库引擎可能存在移植性问题.(因为你在显式的书写SQL语句),除非万不得已,尽量避免这样做

extra(select=None, where=None, params=None,
tables=None, order_by=None, select_params=None)

1. 参数之select

select 参数可以让你在 SELECT 从句中添加其他字段信息,它应该是一个字典,存放着属性名到 SQL 从句的映射。

queryResult=models.Article.objects.extra(select={'is_recent': "create_time > '2019-02-08'"})

结果集中每个 Entry 对象都有一个额外的属性is_recent, 它是一个布尔值,表示 Article对象的create_time 是否晚于2019-02-08

# in sqlite:
    article_obj=models.Article.objects
              .filter(nid=1)
              .extra(select={"standard_time":"strftime('%%Y-%%m-%%d',create_time)"})
              .values("standard_time","nid","title")
    print(article_obj)
    # <QuerySet [{'title': 'MongoDb 入门教程', 'standard_time': '2019-02-08', 'nid': 1}]>

参数之where / tables您可以使用where定义显式SQL WHERE子句 - 也许执行非显式连接。您可以使用tables手动将表添加到SQL FROM子句。

where和tables都接受字符串列表。所有where参数均为“与”任何其他搜索条件。

举例来讲:

queryResult=models.Article.objects.extra(where=['nid in (1,3) OR title like "py%" ','nid>2'])

相关文章

  • Django之SQL从句中注入新子句

    extra 有些情况下,Django的查询语法难以简单的表达复杂的 WHERE 子句,对于这种情况, Django...

  • 小迪16期-20170226

    第二天:Sql注入集锦篇 1.Sql注入之access注入 2.Sql注入之mysql注入 3.Sql注入之mss...

  • PHP代码安全之SQL注入

    PHP代码安全之SQL注入 1、什么是SQL注入? SQL攻击(英语:SQL injection),简称注入攻击,...

  • SQL注入

    ①攻击者访问有SQL注入漏洞的网站,寻找注入点 ②攻击者构造注入语句,注入语句和程序中的SQL语句结合生成新的SQ...

  • HAVING子句的力量

    在以前的 SQL 标准里HAVING子句只能出现在GROUP BY后面,后来的SQL标准中HAVING子句已经可以...

  • SQL高级

    SQL SELECT TOP,LIMIT,ROWNUM SQL SELECT TOP子句 select top子句...

  • web安全之SQL注入

    2018/07/06 23:41 慕课网web安全之SQ之注入课程学习笔记 什么是SQL注入? 如何寻找SQL注入...

  • 2018-06-17

    接口测试之SQL注入 首页我们先熟悉一下什么是接口SQL注入:就是通过把SQL命令插入到接口参数中,通过接口传达到...

  • SQL 高级 01

    SQL 高级 02 SQL 高级 03 SQLite Limit 子句 SQLite 的 LIMIT 子句用于限制...

  • BUUCTF-Web-随便注(三种解题思路)

    知识点:SQL注入-堆叠注入,sql预处理语句,巧用contact()函数绕过 堆叠注入原理: 在SQL中,分号(...

网友评论

    本文标题:Django之SQL从句中注入新子句

    本文链接:https://www.haomeiwen.com/subject/dffxeqtx.html