Что не так с sql запросом?

Question

[leroy bit]

cur.execute('SELECT ? FROM ?', [column_name, table_name,])
for element in cur.fetchall():
result.append(element[0])
return result

При выполнении этого кода появляется ошибка:
cur.execute('SELECT ? FROM ?', [column_name, table_name,]
sqlite3.OperationalError: near"?": syntax error

Не понимаю в чем проблема.

Answer 1

[Сергей Горностаев]

Нельзя подставлять имена колонок и таблиц.

Comments

[leroy bit]

А как тогда предотвратить sql инъекции?

[Сергей Горностаев]

leroy bit, дело не только в ограничениях prepared statements, в принципе неправильно подставлять имена колонок и таблиц в sql-запросы. Если вам такое потребовалось, значит вы неправильно используете реляционную базу данных.

[o5a]

leroy bit, sql-инъекции делаются при помощи пользовательского ввода. Если у Вас названия таблиц и полей зависят от того, что ввел пользователь, то действительно неправильный дизайн. Пользователь должен влиять только на сами данные.