logo标签列表

Postgresql：如何在数据库触发器中转义单引号？

sqlpostgresqltriggersplpgsqldynamic-sql
4

我创建了一个数据库触发器，将行数据存储在审计表中。在更新操作期间，该触发器从主表中获取数据并将其插入到历史表中（历史表具有列：日期、操作类型（例如更新/删除）、实际行数据）。但是由于输入数据中的带引号文本，该触发器在某些情况下会失败。

如何在我的触发器中转义带引号的文本？

--My trigger
CREATE OR REPLACE FUNCTION audit.if_modified() RETURNS TRIGGER AS $function$
DECLARE
    temp_row RECORD; -- a temporary variable used on updates/deletes
    v_sql text;
BEGIN
    IF TG_WHEN <> 'AFTER' THEN
        RAISE EXCEPTION 'audit.if_modified() may only run as an AFTER trigger';
    END IF;

v_sql = 'select * from ' || TG_TABLE_NAME::regclass || '_history';
execute v_sql into temp_row;

select now() into temp_row.action_tstamp_tx;
temp_row.action = SUBSTRING(TG_OP,1,1);
IF (TG_OP = 'UPDATE' AND TG_LEVEL = 'ROW') THEN
    temp_row.row_data = OLD;
ELSIF (TG_OP = 'DELETE' AND TG_LEVEL = 'ROW') THEN
    temp_row.row_data = OLD;
ELSIF (TG_OP = 'INSERT' AND TG_LEVEL = 'ROW') THEN
    temp_row.row_data = NEW;
ELSE
    RAISE EXCEPTION '[audit.if_modified] - Trigger func added as trigger for unhandled case: %, %',TG_OP, TG_LEVEL;
    RETURN NULL;
END IF;

EXECUTE 'INSERT INTO audit.' || TG_TABLE_NAME::regclass || '_history VALUES (''' || 
temp_row.action_tstamp_tx || ''',''' ||
temp_row.action  || ''',''' ||
temp_row.row_data  || ''')'; 

RETURN NULL;
END;
$function$
LANGUAGE plpgsql
SECURITY DEFINER
SET search_path = audit,public,pg_catalog;

这对普通用例来说是可以正常工作的，但如果 varchar 数据中包含单引号文本，则无法将数据加载到历史表中。

ERROR:  syntax error at or near "s"
LINE 1: ...VALUES ('2016-02-22 11:44:43.994295-06','U','(6,Tom's,"2016-02...
                                                               ^
QUERY:  INSERT INTO audit.test_history VALUES ('2016-02-22 11:44:43.994295-06','U','(6,Tom's,"2016-02-22 09:49:32.315543")')
CONTEXT:  PL/pgSQL function if_modified() line 30 at EXECUTE

我是Postgresql的新手。我尝试了一些选项，比如

regexp_replace() API

并且

SELECT into temp_row.row_data unnest(('{' || trim((temp_row.row_data)::text, '()') || '}')::text[]);

等等，但我不知道如何循环遍历ROWTYPE数据并创建正确的插入记录。

请分享您的想法，如何编辑触发器以插入带单引号的文本。

谢谢，

1个回答
6

通常情况下，单引号会被加倍转义。

如果要将变量连接成SQL字符串，应使用quote_literal()函数 - 该函数会正确转义单引号，例如：

quote_literal(temp_row.row_data)

话虽如此：更好（更安全）的解决方案是使用与format()结合的参数：

EXECUTE 
   format('INSERT INTO audit.%I_history values ($1, $2, $3)', tg_table_name)
   using temp_row.action_tstamp_tx, temp_row.action, temp_row.row_data;

%I 占位符通常会正确转义标识符，但在这种情况下它不起作用。如果您想确保即使是非标准表名也能正常工作，您需要先将目标表名放入一个变量中，然后将其用于 format() 函数：

l_tablename := TG_TABLE_NAME || '_history';
EXECUTE 
   format('INSERT INTO audit.%I_history values ($1, $2, $3)', l_tablename)
   using ....

这部分：
v_sql = 'select * from ' || TG_TABLE_NAME::regclass || '_history';
execute v_sql into temp_row;

在第一行之后也会失败。 execute .. into ...希望查询返回一个单个值。您正在使用的语句将从历史表中返回所有行。

我也不明白你为什么要这样做。

您根本不需要从历史表中进行选择。

像这样的东西应该就足够了（未经测试！）：

IF (TG_OP = 'UPDATE' AND TG_LEVEL = 'ROW') THEN
    temp_row := OLD;
ELSIF (TG_OP = 'DELETE' AND TG_LEVEL = 'ROW') THEN
    temp_row := OLD;
ELSIF (TG_OP = 'INSERT' AND TG_LEVEL = 'ROW') THEN
    temp_row := NEW;
ELSE
    RAISE EXCEPTION '[audit.if_modified] - Trigger func added as trigger for unhandled case: %, %',TG_OP, TG_LEVEL;
    RETURN NULL;
END IF;

execute format ('insert ... values ($1, $2, $3') 
   using now(), SUBSTRING(TG_OP,1,1), temp_row;

最后：审计触发器之前已经被编写过了，而且有很多现成的解决方案：

网页内容由stack overflow 提供, 点击上面的
可以查看英文原文，
原文链接