Para evitar f-strings caóticas al consultar ClickHouse desde Python, deja el SQL fijo y envía los valores por separado mediante parámetros tipados, como {tenant:String}. Si cambia el nombre de una tabla o base de datos, usa el marcador específico {tbl:Identifier} con el soporte de parámetros del cliente elegido. No uses parámetros como permiso para insertar fragmentos SQL arbitrarios.
Por qué separar los valores del texto SQL
Una f-string mezcla la estructura de la consulta con los datos que llegan de una solicitud, de un usuario o de la configuración. En vez de construir SQL concatenando esos datos, ClickHouse documenta marcadores tipados para valores. Por ejemplo, el servidor puede recibir una consulta con WHERE website = {name:String} y el valor correspondiente como parámetro separado. ClickHouse describe este mecanismo como una forma de sustituir parámetros de manera segura frente a inyecciones SQL: anuncio de parámetros de ClickHouse.
As an Amazon Associate I earn from qualifying purchases.
El principio es mantener el SQL como una plantilla fija y transportar el dato por el mecanismo de parámetros de la interfaz utilizada. La documentación de Query Endpoints de ClickHouse Cloud muestra esa separación: la consulta contiene {package_name:String} y el valor package_name se proporciona aparte.
The Tool Desk
Outbyte Driver Updater FREEScan for outdated or missing drivers - takes under a minuteDriver Scan →Outbyte PC Repair FREEClear out junk files and repair common Windows errorsFree Scan →Cómo plantear la consulta en Python
Usa un marcador tipado para cada valor
El patrón conceptual para filtrar eventos por tenant es:
#1 Best Overall
query = "SELECT count() FROM events WHERE tenant = {tenant:String}"
# Envía tenant por separado mediante los parámetros del cliente.El marcador forma parte del SQL; el contenido de tenant no se concatena en la cadena. No supongas que cualquier método llamado query recibe los parámetros de la misma forma: confirma la firma admitida por la versión concreta del cliente que tengas instalada antes de convertir el ejemplo en código ejecutable.
Elige el cliente y confirma su API
ClickHouse documenta el cliente Python clickhouse-connect, su instalación con pip install clickhouse-connect y una consulta básica con client.query(...) en su guía de integración Python. Esa guía respalda el uso del cliente, pero la forma exacta de pasar parámetros puede depender de la versión y de la interfaz; revisa la documentación de API correspondiente a la versión fijada en tu proyecto. El artículo institucional de ClickHouse del 16 de marzo de 2026 también lo identifica como su cliente Python oficial: artículo de ClickHouse sobre su cliente Python.
- Instala el paquete documentado con
pip install clickhouse-connect, o usa la versión fijada por tu aplicación. - Conserva la consulta como una cadena SQL con marcadores tipados.
- Consulta la documentación de esa versión para identificar cómo pasar los valores en un objeto o argumento de parámetros separado.
- Prueba la consulta con valores representativos y confirma que el servidor recibe el dato como parámetro, no como parte concatenada del SQL.
Tabla y base de datos dinámicas requieren un identificador
Un nombre de tabla no es un valor de filtro. Para nombres dinámicos de tablas o bases de datos, ClickHouse documenta el marcador específico {tbl:Identifier}, distinto de un marcador de valor como {name:String}. Debes usarlo a través del soporte de parámetros de la interfaz o cliente elegidos; la sintaxis está descrita en el anuncio de parámetros de ClickHouse.
Un identificador tipado no decide si la aplicación debería permitir acceder a esa tabla. Restringe las opciones a las que la aplicación necesita acceder y aplica los permisos adecuados. No construyas el identificador mediante interpolación libre ni trates el marcador como autorización.
Qué hacer cuando también cambia la estructura SQL
Los parámetros documentados aquí cubren valores e identificadores; no convierten una cláusula arbitraria de ORDER BY, una expresión o un fragmento SQL proporcionado por el usuario en una entrada segura. Si la estructura debe variar, selecciona entre alternativas cerradas definidas por la aplicación y valida la elección antes de incorporarla a la consulta. Por ejemplo, asigna opciones como «más recientes» o «mayor cantidad» a expresiones SQL escritas por el desarrollador, en vez de insertar directamente el texto recibido en un parámetro de solicitud. Esta es una pauta de implementación, no una garantía atribuida al driver.
Qué prueban —y qué no— las cifras de uso del cliente
ClickHouse informó el 16 de marzo de 2026 que, según sus estadísticas internas de uso de Cloud, casi 2.200 organizaciones usaban clickhouse-connect y se habían ejecutado casi 30.000 millones de consultas. También señaló que el 13% de sus usuarios del cliente usaba el modo asíncrono y que ese modo representaba el 24% de las consultas. Son cifras declaradas por el proveedor, no mediciones independientes ni pruebas de seguridad o benchmarks generales; están recogidas en su artículo sobre el cliente Python. La disponibilidad y el estado de versiones pueden cambiar, así que verifica la versión actual en la documentación del paquete que uses.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
