Potansiyel Django Bug QuerySet.query'de mi?

Question

Yasal Uyarı: Hala Django öğreniyorum, bu yüzden burada bir şey eksik olabilir, ama ben Python 2.6.1 ve Django 1.2.1 koşuyorum ... ne olurdu

göremez. etrafında "a" ya da "b" tırnak koymak olmadığını

(InteractiveConsole) 
>>> from myproject.myapp.models import * 
>>> qs = Identifier.objects.filter(Q(key="a") | Q(key="b")) 
>>> print qs.query 
SELECT `app_identifier`.`id`, `app_identifier`.`user_id`, 
`app_identifier`.`key`, `app_identifier`.`value` FROM 
`app_identifier` WHERE (`app_identifier`.`key` = a OR 
`app_identifier`.`key` = b) 
>>> 

Bildirimi! Şimdi, sorgusunun sorgusunu gerçekleştirdiğini belirledim. Yani, gerçekte, öyle yapıyor olmalı. Ancak, sorgunun yazdırılmasının yanlış yazdırması oldukça can sıkıcıdır. Böyle bir şey ... yaptım Özellikle

gördüğünüz gibi, tamamen hatalı biçimlendirilmiş bir SQL kodunu oluşturur, aynı zamanda SQL enjeksiyon saldırısı tohumlarını sahiptir kalmaz,

>>> qs = Identifier.objects.filter(Q(key=") AND") | Q(key="\"x\"); DROP TABLE  
       `app_identifier`")) 
>>> print qs.query 
SELECT `app_identifier`.`id`, `app_identifier`.`user_id`, 
`app_identifier`.`key`, `app_identifier`.`value` FROM 
`app_identifier` WHERE (`app_identifier`.`key` =) AND OR 
`app_identifier`.`key` = "x"); DROP TABLE `app_identifier`) 
>>> 

. Şüphesiz, bu durum aslında pek çok nedenden ötürü işe yaramayacaktır (1. Sözdizimi, Django'nun davranışının tuhaflığını göstermek için kasıtlı olarak yanlıştır.) 2. Django, bu gibi bir sorguyu yürütmeyecektir. aslında tırnaklar ve eğik çizgi ve orada olması gerektiği gibi her şeyi koydu).

Ancak, bu gerçekten hata ayıklamayı kafa karıştırıcı yapar ve Django yüklememde bir şeyler ters gittiğinde beni meraklandırır.

Bu sizin için mi oluyor? Eğer öyleyse, Python ve Django'nun hangi versiyonuna sahipsiniz?

Herhangi bir düşünce?

Answer 1

Tamam, sadece anladım. Bu bir hata değil.

160  def __str__(self): 
161   """ 
162   Returns the query as a string of SQL with the parameter values 
163   substituted in. 
164 
165   Parameter values won't necessarily be quoted correctly, since that is 
166   done by the database interface at execution time. 
167   """ 
168   sql, params = self.get_compiler(DEFAULT_DB_ALIAS).as_sql() 
169   return sql % params 

(http://code.djangoproject.com/browser/django/trunk/django/db/models/sql/query.py)

Her şey düzgün çalışıyor: Django/db/modelleri/sql/query.py kaynağını dolaşma. :)