基于PonyORM+Flask+MySQL的多URL参数查询问题

你当前的写法问题不小哦——用字符串拼接lambda表达式的方式完全不符合Pony ORM的查询规则，而且还会带来严重的SQL注入风险，绝对不能这么干。咱们来一步步修正，实现安全又高效的动态查询：

基础正确写法 #

利用Python的getattr()函数动态访问模型字段，这是Pony ORM支持的安全写法，它会自动帮你处理参数绑定，避免注入：

from pony.orm import select
# 假设args是Flask请求中的URL参数字典（比如request.args）
query = select(r for r in Route)

for key, value in args.items():
    # 动态获取模型的对应字段，构建查询条件
    query = query.where(lambda r: getattr(r, key) == value)

# 执行查询并处理结果
for result in query:
    print(result.id)

更健壮的版本（增加字段合法性校验） #

如果担心用户传入不存在的字段名导致报错，可以先校验参数key是否是Route模型的有效字段：

from pony.orm import select

# 先获取Route模型的所有有效实体字段
valid_fields = []
for attr_name in dir(Route):
    attr = getattr(Route, attr_name)
    # Pony的实体字段会带有is_entity_attribute属性
    if not attr_name.startswith('_') and hasattr(attr, 'is_entity_attribute'):
        valid_fields.append(attr_name)

query = select(r for r in Route)
for key, value in args.items():
    # 只处理合法的字段
    if key in valid_fields:
        query = query.where(lambda r: getattr(r, key) == value)

for result in query:
    print(result.id)

为什么你的原写法不行？ #

1. Pony不支持字符串形式的lambda：Pony ORM的where()方法需要接收可解析的Python lambda表达式，而不是字符串拼接出来的文本，原写法根本无法被正确解析。
2. SQL注入风险：直接把用户输入的value拼到字符串里，恶意用户可以构造特殊值（比如' OR 1=1 --），让查询返回所有数据甚至破坏数据库，而用getattr的方式，Pony会自动生成带占位符的SQL（比如SELECT * FROM Route WHERE p1 = ? AND p2 = ?），参数值会被安全传递，完全避免注入。

内容的提问来源于stack exchange，提问作者John Kitonyo