SELECT: filters, order, NULL і safe parameters

Проєкція і відбір мають бути явними

SELECT * приховує output contract: порядок і набір columns можуть змінитися разом зі schema. Для application query перелічуйте потрібні columns, давайте зрозумілі aliases і описуйте, чи допускається zero, one або many rows.

SELECT id, project_id, title, status, created_at
FROM python_sql_lab.tickets
WHERE project_id = %s AND status = %s
ORDER BY created_at DESC, id DESC
LIMIT %s;

Додатковий id у ORDER BY робить порядок deterministic, коли timestamps однакові.

WHERE працює з SQL logic

Умови AND, OR і NOT треба групувати parentheses, коли priority не очевидний. NULL = NULL не повертає true; для nullable column використовують IS NULL. NOT IN із NULL у наборі може дати неочікуваний unknown, тому nullable semantics треба тестувати окремо.

Параметри — не string formatting

Psycopg передає values окремо від query. Placeholder залишається %s незалежно від типу, а parameters передаються другим argument до execute(). Не використовуйте f-string, % чи format() для user-controlled values: escaping залежить від protocol і type adaptation, а ручне quoting легко породжує SQL injection.

cursor.execute(
    "SELECT id, title FROM python_sql_lab.tickets WHERE status = %s",
    (status,),
)

Identifiers потребують composition API

Назву table або column не можна передати як звичайний value placeholder. Для обмеженого dynamic identifier спочатку застосовують allowlist, потім psycopg.sql.Identifier і SQL(...).format(). Direction сортування краще обирати з двох статичних query templates, а не приймати довільний fragment.

from psycopg import sql

allowed = {"created_at", "priority"}
if sort_key not in allowed:
    raise ValueError("unsupported_sort_key")
query = sql.SQL("SELECT id FROM python_sql_lab.tickets ORDER BY {} DESC")
cursor.execute(query.format(sql.Identifier(sort_key)))

Pagination має стабільний порядок

LIMIT без ORDER BY не обіцяє ті самі rows між runs. Великий OFFSET може бути дорогим і нестабільним під concurrent inserts. Для API часто краще keyset pagination: наступна сторінка починається після останньої пари (created_at, id). Contract має визначити tie-breaker, cursor encoding і snapshot expectations.

1. Перелічіть output columns.
2. Параметризуйте values.
3. Allowlist + Identifier використовуйте лише для identifiers.
4. Додайте deterministic ORDER BY.
5. Перевірте empty, NULL, quote-containing і boundary inputs.

Методичні джерела

• PostgreSQL: Queries
• Psycopg: Passing parameters
• Psycopg: SQL composition

Урок, сценарії, пояснення й вправи створені SEOWORK. Посилання ведуть лише на офіційну документацію та Python Wiki.