如何在DRF项目中执行字符串形式的Django查询并获取结果

先明确你之前两种方法的核心问题：

• exec用法错误：直接执行exec('model.objects.all()')不会将结果绑定到变量，需要把赋值逻辑写入执行字符串，再通过命名空间提取结果。
• subprocess完全不适用：它启动的是全新Python进程，和当前DRF的Django上下文完全隔离，既没初始化Django环境，也没导入你的模型，必然找不到对应model，直接放弃这种思路。

正确的exec用法（仅本地测试用，生产绝对禁止） #

如果只是本地验证功能，可以这么写：

# 先确保已导入目标模型，比如 from myapp.models import Book as model
query_str = "query_result = model.objects.all()"
local_namespace = {}
# 在指定命名空间内执行代码
exec(query_str, globals(), local_namespace)
# 从命名空间中取出执行结果
result = local_namespace["query_result"]
# 后续序列化返回即可

核心警告：绝对不能在生产环境直接执行用户传来的代码 #

直接执行用户提交的任意Python代码是致命安全漏洞，用户可轻易删除数据、窃取服务器敏感信息甚至接管服务器。必须通过结构化方式解析查询需求，用Django ORM API构建查询，而非执行字符串。

安全替代方案示例 #

让客户端发送结构化参数，而非直接传ORM代码：

# 客户端请求示例：
{
    "model": "Book",  # 要查询的模型名
    "action": "filter",  # 操作类型：all/filter
    "filters": {"author": "张三", "price__lt": 50}  # 过滤条件
}

后端处理代码：

from django.apps import apps
from django.db.models import Q
from rest_framework.response import Response
from rest_framework.views import APIView
from .serializers import BookSerializer  # 对应模型的序列化器

class QueryView(APIView):
    # 白名单：仅允许查询这些模型
    ALLOWED_MODELS = ["Book", "Author"]
    # 白名单：仅允许这些操作
    ALLOWED_ACTIONS = ["all", "filter"]

    def post(self, request):
        data = request.data
        model_name = data.get("model")
        action = data.get("action", "all")
        filters = data.get("filters", {})

        # 校验模型和操作是否在白名单内
        if model_name not in self.ALLOWED_MODELS or action not in self.ALLOWED_ACTIONS:
            return Response({"error": "不允许的查询请求"}, status=403)
        
        # 获取目标模型类
        try:
            Model = apps.get_model("myapp", model_name)  # myapp是你的app名称
        except LookupError:
            return Response({"error": "模型不存在"}, status=404)
        
        # 构建查询集
        queryset = Model.objects.all()
        if action == "filter":
            # 仅允许使用模型已存在的字段作为过滤条件
            allowed_fields = [field.name for field in Model._meta.fields]
            q_obj = Q()
            for field, value in filters.items():
                # 校验字段合法性，防止注入
                if field in allowed_fields:
                    q_obj &= Q(**{field: value})
            queryset = queryset.filter(q_obj)
        
        # 序列化并返回结果
        serializer = BookSerializer(queryset, many=True)  # 根据模型切换对应序列化器
        return Response(serializer.data)

该方案通过白名单限制可查询的模型和操作，同时仅允许使用模型原生字段做过滤，彻底规避了代码注入风险。

内容的提问来源于stack exchange，提问作者dev-beginer