Tengo una consulta compleja, con algunas uniones internas, una pequeña cláusula where y también una cláusula HAVING , esto es para un informe.
En este caso, no puedo usar Model.objects.raw, así que en su lugar, estoy usando cursor.execute(sql) . Mi pregunta es con mis parámetros. Tengo 20 parámetros y algunos de ellos se repiten (company_id en cada combinación interna).
Usar un dict y %(key)s no funciona aquí cuando se usa cursor.execute, solo funciona con Model.object.raw.
¿Cómo puedo nombrar el parámetro, para pasarlo solo una vez? ¿O hay algún método para desinfectar toda mi consulta, evitando la inyección de SQL?
Pase los 20 parámetros y repetirlos en orden en una lista no es legible.
De acuerdo con la documentación de Django, esta es la forma correcta de hacerlo, pero ADVERTENCIA, no funcionará en Sqlite
cursor.execute('SELECT * from Bla where id = %(some_id)s', {"some_id":1})