RubyでSQLiteを使う時の変数の埋め込み方法は?

6601 PV

例えば、RubyからSQLiteの新規テーブルを作成したいときのテーブル名を変数にしたい場合どうすればいいのでしょうか?

db = SQLite3::Database.new("data.db")
sql = "create table {ここに変数をいれたい} (id int, title text)"
db.execute(sql)
db.close

データの追加を行う場合、プレースホルダとバインド値を使って以下のように書けることはわかったのですが、テーブル作成では書き方がわかりません。ご教授お願いします。

sql = "insert into test values (?, ?)"
db.execute(sql, 1, 'hoge')
db.execute(sql, 2, 'fuga')

kawahiro

2012/10/29 10:38 投稿

2012/10/29 21:01 編集

履歴 (1)

回答

評価順新着順更新順

knsmr さんの回答の通り、自前で SQL を組み立てて execute に渡さないとだめそうです。ちょっと補足です。

execute でうまくいかないのは、execute がプリペアドステートメントを使っているためで、プリペアドステートメントには識別子 (テーブル名や列名など) はバインドできません。これは他の RDBMS でも同じです (たぶん)。

また、任意の文字列をテーブル名としてとるのなら、" で囲んで " をエスケープする必要があります。

require "sqlite3"

# 識別子のエスケープ
def quote_ident(string)
  escaped = string.gsub(/"/, '""')
  %("#{escaped}")
end

table_name = "table name has space and \""
db = SQLite3::Database.new("data.db")
sql = "create table #{quote_ident(table_name)} (id int, title text)"
db.execute(sql)

db.execute("select name from sqlite_master where type = 'table'")
# => [["table name has space and \""]]

labocho

1137

● 3 ● 4

2012/10/29 17:51 投稿

編集履歴 (0)

ご回答ありがとうございます。
sql文で変数展開の書き方で書くと、セキュリティ的に微妙とかいう記事を見つけてたので、ほかの書き方を探してたのですが、しっかりエスケープ処理すれば大丈夫なんですかね。
ありがとうございました！ - kawahiro 2012/10/29 20:14

Rubyは文字列リテラルの中に変数を展開して挿入する「インターポレーション」ができるスクリプト言語の一派なので、それを使うと良いと思います。

name = "ken"
puts "Hello, #{name.capitalize}!"

=> Hello, Ken!

となるので、

require 'sqlite3'

db = SQLite3::Database.new("data.db")
table_name = "books"
sql = "CREATE TABLE #{table_name} (id int, title text)"
db.execute(sql)
db.close

とすればオッケーではないかと思います。Rubyのsqlite3のライブラリには、テーブル作成のための特別な記法やAPIは用意されていないようです。

同じことですが、クエリが長くなるようなら、

require 'sqlite3'

SQLite3::Database.new("data.db") do |db|
  table_name = "books"
  db.execute %Q{
  CREATE TABLE #{table_name} (
    id int,
    title text)
  }
end