Modo corretto per passare i parametri alla query in D DBI

Question

In Perl/Python le API DBI dispongono di un meccanismo per l'interpolazione sicura nei parametri di una query sql. Per esempio in python che vorrei fare:

cursor.execute("SELECT * FROM table WHERE value > ?", (5,))  

Dove il secondo parametro al metodo execute è una tupla di parametri da aggiungere nella query SQL

Esiste un meccanismo simile per le API compatibili DBI di R? Gli esempi che ho visto non mostrano mai i parametri passati alla query. In caso contrario, qual è il modo più sicuro per interpolare nei parametri di una query? Sto specificatamente cercando di usare RPostgresSQL.

Answer 1

In effetti l'uso delle variabili di bind non è molto ben documentato. Ad ogni modo i comandi ODBC in R funzionano in modo diverso per diversi database. Una possibilità per postgres sarebbe come questo:

res <- postgresqlExecStatement(con, "SELECT * FROM table WHERE value > $1", c(5)) 
postgresqlFetch(res) 
postgresqlCloseResult(res) 

Speranza che aiuta.

Answer 2

Solo per completezza, aggiungerò una risposta basata sul commento di Hadley. Il pacchetto DBI ora ha la funzione sqlInterpolate che può anche funzionare. Richiede un elenco di argomenti di funzione da denominare nella query sql che tutti devono iniziare con un ?. Estratto dal DBI manual sotto

sql <- "SELECT * FROM X WHERE name = ?name" 
sqlInterpolate(ANSI(), sql, name = "Hadley") 
# This is safe because the single quote has been double escaped 
sqlInterpolate(ANSI(), sql, name = "H'); DROP TABLE--;")