Загрузка платежей с проверкой блокировки записи в БД

Mon, 01 Jan 0001 00:00:00 +0000

2. Загрузка платежей с проверкой блокировки записи в БД

Условие задачи:
Дан API-эндпоинт на FastAPI для загрузки файла со списком платежей. Файл содержит до 1000 записей, каждая из которых включает ИНН получателя, номер счета, сумму и назначение платежа.
Нужно доработать обработку загрузки так, чтобы при сохранении платежей дополнительно выполнялась проверка: не заблокирована ли соответствующая запись в базе данных.
Если запись заблокирована, такая операция должна корректно обрабатываться и учитываться при формировании результата обработки файла.
Предложи дополнительные способы оптимизации

Критика кода перевода средств в FastAPI

Mon, 01 Jan 0001 00:00:00 +0000

1. Критика кода перевода средств в FastAPI

Условие задачи:
Дан фрагмент кода на FastAPI и asyncpg, реализующий создание таблицы пользователей и эндпоинт для перевода денег между пользователями.

Нужно провести критический разбор этого кода: найти архитектурные, логические, SQL-, безопасностные и синтаксические проблемы, а также указать, почему такая реализация может приводить к ошибкам, уязвимостям или некорректной работе сервиса.

"import asyncpg
from fastapi import FastAPI, Body, HTTPException
app FastAPI()
DB_DSN = ""postgresql://test:test@localhost/testdb""
async def get_connection()-> asyncpg.Connection: 
return await asyncpg.connect(DB_DSN)

@app.on_event(""startup"")
async def on_startup():
conn = await get_connection()
await conn.execute(
‘’’CREATE TABLE IF NOT EXISTS ""user"" (
 id TEXT NOT NULL, 
name TEXT NOT NULL, 
balance DOUBLE PRECISION )’’’


@app.post(""/transfer"")
async def transfer(
from user: str = Body(),
to_user: str = Body(),
amount: float = Body(),):
conn await get_connection()
row = await conn.fetchrow(f'select id, balance from ""user"" where id = {from_user}')
if row[""balance""] < amount:
raise HTTPException(status_code=400, detail=""Insufficient funds"")
await conn.execute(f'UPDATE ""user"" SET balance = balance -{amount} WHERE id = (from_user}')
await.conn.execute(f'UPDATE ""user"" SET balance balance + {amount} WHERE id = {to_user}')
return {""success"": True}"

Спойлеры к решению

Подсказки

В коде есть синтаксические ошибки: app FastAPI(), conn await get_connection(), await.conn.execute(...).
Таблица названа "user" — это неудобное имя, лучше использовать users.
Подключение к БД создаётся на каждый запрос и не закрывается.
Для FastAPI-сервиса лучше использовать пул соединений.
SQL собирается через f-string, что создаёт SQL-инъекцию.
Денежные суммы нельзя хранить в DOUBLE PRECISION и принимать как float.
Перевод денег должен выполняться внутри транзакции.
При конкурентных запросах нужно блокировать строки пользователей.
Нужно проверять существование обоих пользователей.
Нужно проверять, что сумма положительная.

Решение

В коде смешаны сразу несколько типов проблем: синтаксис, SQL-инъекции, некорректная работа с соединениями, отсутствие транзакции, race condition при переводе денег и неправильный тип для баланса.

Лайвкодинг FastAPI on IT Ментор | Python методичка

Загрузка платежей с проверкой блокировки записи в БД

2. Загрузка платежей с проверкой блокировки записи в БД

Критика кода перевода средств в FastAPI

1. Критика кода перевода средств в FastAPI