Как удалить строку из базы данных postgresql с помощью запроса на пайтон?

Question

[kan3k1k3n]

у меня есть бот, который успешно добавляет данные (название товара, цену, картинку) на мой сайт.
хочу сделать функцию, чтобы можно было удалить последний добавленный товар.
код этой функции:

@bot.message_handler(commands=['delete'])
def delete_tovar(message):
    deleted_image = file_name
    conn = psycopg2.connect(dbname='test', user='postgres', password='', host='127.0.0.1')
    cursor = conn.cursor()
    cursor.execute("DELETE FROM shop WHERE image  = '{deleted_image}';")
    conn.commit()
    conn.close()
    cursor.close()

p.s переменная file_name - глобальная. работает в предыщущей функции по сохранению изображения.
как сделать, чтобы у меня удалялась строка? нажимаю, ничего не удаляется, но пайчарм не показывает ошибки.

Answer 1

[Alex G.]

Попробуйте заменить строку c

ursor.execute("DELETE FROM shop WHERE image  = '{deleted_image}';")

на

cursor.execute(f"DELETE FROM shop WHERE image  = '{deleted_image}';")

Но этот способ не безопасен, так как открывает уязвимость манипулирования данными таблицы через имя файла! Лучше использовать ответ от Василий Банников

Comments

[Василий Банников]

Не надо так делать, тк мы не знаем, имеет ли конечный пользователь контроль над содержимым переменной deleted_image, или нет - лучше перебдеть и предположить, что есть риск SQL-инъекции.

[Alex G.]

Василий Банников, Поч? Сработает ведь!

[Василий Банников]

Alexey Gergert, а потом окажется, что пользователь создал файл с именем:
test' OR 1=1 --

[Alex G.]

Василий Банников, f строка не должна создать новый файл, а просто заменить
переменную deleted_image на ее значение в строке запроса.

[kan3k1k3n]

да, спасибо, сработало)

[Василий Банников]

Alexey Gergert, ну и вот представь себе ситуацию, если значение переменной deleted_image было таким, какое я написал.

[Василий Банников]

kan3k1k3n, не надо брать на вооружение плохие практики, которые создают потенциально очень большие дыры в безопасности.
Лучше разобраться в причинах, почему не работает нормальный вариант.

[Alex G.]

Василий Банников, Хм, ну это блин на усмотрение пользователя! Вариант то рабочий! Да действительно есть нюанс что если файл будет называться как ты написал, то удаляться все записи! Но кто будет называть вот так файл?

[Василий Банников]

Alexey Gergert,

Но кто будет называть вот так файл?

Злоумышленник, очевидно, лол )

[Alex G.]

Василий Банников, Согласен, вы правы! Лучше обезопаситься на всякий случай и сделать правильно!

[Василий Банников]

Alexey Gergert, тогда поправь свой ответ

Answer 2

[Василий Банников]

Вполне логично, что у тебя нет значения '{deleted_image}' в этой таблице :)

Попробуй так:

cursor.execute("DELETE FROM shop WHERE image  = %s;", (deleted_image, ))

p.s переменная file_name - глобальная

А вот этим лучше прекращай заниматься

Comments

[kan3k1k3n]

выдает ошибку not all arguments converted during string formatting

[Василий Банников]

kan3k1k3n, обновил ответ, чтобы он не вызывал ошибку. Забыл запятую