ほとんどの場合、SQLAlchemyステートメントまたはクエリの「文字列化」は次のように単純です。
print str(statement)
これはORM Queryだけでなくselect()、他のステートメントにも当てはまります。
注：次の詳細な回答は、sqlalchemyのドキュメントで維持されています。
ステートメントを特定の方言またはエンジンにコンパイルして取得するには、ステートメント自体がまだバインドされていない場合、これをcompile（）に渡すことができます。
print statement.compile(someengine)
またはエンジンなし：
from sqlalchemy.dialects import postgresql
print statement.compile(dialect=postgresql.dialect())
ORM Queryオブジェクトが指定されている場合、compile()メソッドにアクセスするには、最初に.statementアクセサーにアクセスするだけです。
statement = query.statement
print statement.compile(someengine)
バインドされたパラメーターを最終的な文字列に「インライン化する」という元の規定に関して、ここでの課題は、SQLAlchemyが通常これで処理されないことです。これは、バインドされたパラメーターのバイパスは言うまでもなく、Python DBAPIによって適切に処理されるためです。おそらく、最新のWebアプリケーションで最も広く利用されているセキュリティホールです。SQLAlchemyは、DDLを発行する場合など、特定の状況でこの文字列化を行う機能に制限があります。この機能にアクセスするには、次のように渡される 'literal_binds'フラグを使用できますcompile_kwargs。
from sqlalchemy.sql import table, column, select
t = table('t', column('x'))
s = select([t]).where(t.c.x == 5)
print s.compile(compile_kwargs={"literal_binds": True})
上記のアプローチには、intやstringなどの基本的なタイプでのみサポートされているという警告があります。さらにbindparam
、事前設定されていない値を直接使用すると、それを文字列化することもできません。
サポートされていないタイプのインラインリテラルレンダリングをサポートTypeDecoratorするには、TypeDecorator.process_literal_paramメソッドを含むターゲットタイプのを実装します
。
from sqlalchemy import TypeDecorator, Integer
class MyFancyType(TypeDecorator):
impl = Integer
def process_literal_param(self, value, dialect):
return "my_fancy_formatting(%s)" % value
from sqlalchemy import Table, Column, MetaData
tab = Table('mytable', MetaData(), Column('x', MyFancyType()))
print(
tab.select().where(tab.c.x > 5).compile(
compile_kwargs={"literal_binds": True})
)
次のような出力を生成します：
SELECT mytable.x
FROM mytable
WHERE mytable.x > my_fancy_formatting(5)
sqlalchemy.engineログを利用することで、脆弱性の少ないソリューションを構築できます。クエリとバインドパラメータをログに記録します。バインドプレースホルダを、簡単に作成されたSQLクエリ文字列の値に置き換えるだけで済みます。