参数化-说说抽象SQL-的查询 (参数化方法有哪些)

什么是参数化查询?

一，定义

参数化查询(Parameterized Query 或 Parameterized Statement)是指在设计与数据库链接并访问数据时，在需要填入数值或数据的地方，使用参数 (Parameter) 来给值，这个方法目前已被视为最有效可预防SQL注入攻击 (SQL Injection) 的攻击手法的防御方式。

有部份的开发人员可能会认为使用参数化查询，会让程序更不好维护，或者在实现部份功能上会非常不便，然而，使用参数化查询造成的额外开发成本，通常都远低于因为SQL注入攻击漏洞被发现而遭受攻击，所造成的重大损失。

原理

在使用参数化查询的情况下，数据库 服务器 不会将参数的内容视为SQL指令的一部份来处理，而是在数据库完成 SQL 指令的编译后，才套用参数运行，因此就算参数中含有具有损的指令，也不会被数据库所运行。

SQL 指令撰写方法

在撰写 SQL 指令时，利用参数来代表需要填入的数值，例如：

Microsoft SQL Server

Microsoft SQL Server 的参数格式是以 “@” 字符加上参数名称而成，SQL Server 亦支持匿名参数 “?”。

SELECT * FROM myTable WHERE myID = @myID

INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2, @c3, @c4)

Microsoft Access

Microsoft Access 不支持具名参数，只支持匿名参数 “?”。

UPDATE myTable SET c1 = ?, c2 = ?, c3 = ? WHERE c4 = ?

MySQL 的参数格式是以 “?” 字符加上参数名称而成。

UPDATE myTable SET c1 = ?c1, c2 = ?c2, c3 = ?c3 WHERE c4 = ?c4

Oracle 的参数格式是以 “:” 字符加上参数名称而成。

UPDATE myTable SET c1 = :c1, c2 = :c2, c3 = :c3 WHERE c4 = :c4

PostgreSQL

PostgreSQL 的参数格式是以 “$” 字符加上参数顺序号而成。

UPDATE myTable SET c1 = $1, c2 = $2, c3 = $3 WHERE c4 = $4

PostgreSQL也支持Oracle的参数表示形式

总结一下各数据库对于参数符号的定义：

SQLServer @

Access，MySQL ?

PostgreSQL $

上面的这些符号是各数据库内部原生支持的方式，但是具体到ADO.NET调用的时候，采用各数据库原生的.NET驱动程序，发现除了Oracle，各种数据库都可以在SQL语句中用@符号表示参数;

采用各数据库的OleDB或者ODBC驱动程序，都要求使用 ?符号表示参数。

还有其它本文未说到的数据库，他们的SQL语句表示参数的符号可能都是不一样的，怎么样在程序里面统一处理呢?本文主题开始了：

二，抽象SQL参数化查询

在PDF.NET数据开发框架中，对参数的定义统一采用##来处理，具体格式如下：

#参数名字[:参数类型],[数据类型],[参数长度],[参数输出输入类型]#

上面定义当中，中括号里面的内容都是可选的。

详细内容，请参看“SQL-MAP规范”

对本文第一部分的示例，可以改写成下面的方式：

如果不指定参数的类型，默认为String类型，例如c1参数。

程序在运行时，会根据当前具体的数据库访问程序实例，将##内部的参数替换成合适的参数内容。

上面这种参数形式是写在SQL-MAP配置文件里面的，例如下面的一个实际的SQL-MAP查询脚本：

通过这种方式，完全屏蔽了不同种类的数据库查询的参数问题，将SQL参数化查询抽象了出来。

看到这里本文似乎该结束了，但本文的标题“参数化”加了一个括号，说明我们抽象的不仅仅是参数，我们还可以抽象整个SQL查询。

三，抽象SQL查询：SQL-MAP技术

在本文第二部分，我们将SQL中的参数“抽象化”了，我们还可以进一步抽象整个SQL，看下面的抽象过程：

这个思想，就是SQL-MAP，将SQL语句映射为程序的。

下面我们介绍一下PDF.NET数据开发框架对于存储过程的操作思路，当然对于单条SQL也是如此。当然，单条SQL语句的操作我们不必请出SQL-MAP这种“重量级”的方式，还是使用框架中的ORM技术OQL吧，但这不是本文讨论的话题。

首先，在SQL-MAP配置文件里面写下面的脚本：

注意脚本中的ResultClass属性，它可以将查询映射成为单值，DataSet，实体类，实体类集合。

有了这个SQL-MAP文件，我们可以使用代码工具自动生成下面的代码(当然你也可以手写)：

从上面的过程可以看出，框架采用SQL-MAP技术，将SQL语句(包括各种查询的单条SQL语句和存储过程等)映射成了DAL层代码，整个过程不需要了解.NET开发技术，所以DAL层的代码完全可以由DBA来写，而业务开发人员只要调用DAL代码即可。

采用这种技术，DBA可以写高效的有数据库特性的SQL，如果要换数据库，只需要换一个配置文件即可，不需要重写程序。

题外话：

SQL-MAP思想并非PDF.NET数据开发框架独有，实际上，该思想也是从著名的iBatis框架借鉴而来的，但与iBatis不同的是，PDF.NET的SQL-MAP参数不需要定义专门的“参数类”，也不需要写额外的XML文件指明查询结果如何与实体类映射，所以整个开发过程大大简化，简化到你只需要会写SQL语句，就可以写DAL代码。

原文链接：

【编辑推荐】

谁可以给我全部的SQL查询语句？

一、 简单查询简单的Transact-SQL查询只包括选择列表、FROM子句和WHERE子句。 它们分别说明所查询列、查询的表或视图、以及搜索条件等。 例如，下面的语句查询testtable表中姓名为“张三”的nickname字段和email字段。 SELECT nickname,emailFROM testtableWHERE(一) 选择列表选择列表(select_list)指出所查询列，它可以是一组列名列表、星号、表达式、变量(包括局部变量和全局变量)等构成。 1、选择所有列例如，下面语句显示testtable表中所有列的数据：SELECT *FROM testtable2、选择部分列并指定它们的显示次序查询结果集合中数据的排列顺序与选择列表中所指定的列名排列顺序相同。 例如：SELECT nickname,emailFROM testtable3、更改列标题在选择列表中，可重新指定列标题。 定义格式为：列标题=列名列名 列标题如果指定的列标题不是标准的标识符格式时，应使用引号定界符，例如，下列语句使用汉字显示列标题：SELECT 昵称=nickname,电子邮件=emailFROM testtable(二) FROM子句FROM子句指定SELECT语句查询及与查询相关的表或视图。 在FROM子句中最多可指定256个表或视图，它们之间用逗号分隔。 在FROM子句同时指定多个表或视图时，如果选择列表中存在同名列，这时应使用对象名限定这些列所属的表或视图。 例如在usertable和citytable表中同时存在cityid列，在查询两个表中的cityid时应使用下面语句格式加以限定：SELECT username, usertable,citytableWHERE =在FROM子句中可用以下两种格式为表或视图指定别名：表名 as 别名表名 别名例如上面语句可用表的别名格式表示为：SELECT username, usertable a,citytable bWHERE =不仅能从表或视图中检索数据，它还能够从其它查询语句所返回的结果集合中查询数据。 例如：SELECT _fname+_lnameFROM authors a,titleauthor ta(SELECT title_id,titleFROM titlesWHERE ytd_sales>) AS tWHERE _id=_idand _id=_id此例中，将SELECT返回的结果集合给予一别名t，然后再从中检索数据。 (三) 使用WHERE子句设置查询条件WHERE子句设置查询条件，过滤掉不需要的数据行。 例如下面语句查询年龄大于20的数据：SELECT *FROM usertableWHERE age>20WHERE子句可包括各种条件运算符：比较运算符(大小比较)：>、>=、=、<、<=、<>、!>、!<范围运算符(表达式值是否在指定的范围)：BETWEEN…AND…NOT BETWEEN…AND…列表运算符(判断表达式是否为列表中的指定项)：IN (项1,项2……)NOT IN (项1,项2……)模式匹配符(判断值是否与指定的字符通配格式相符):LIKE、NOT LIKE空值判断符(判断表达式是否为空)：IS NULL、NOT IS NULL逻辑运算符(用于多条件的逻辑连接)：NOT、AND、OR1、范围运算符例：age BETWEEN 10 AND 30相当于age>=10 AND age<=302、列表运算符例：country IN (Germany,China)3、模式匹配符例：常用于模糊查找，它判断列值是否与指定的字符串格式相匹配。 可用于char、varchar、text、ntext、datetime和smalldatetime等类型查询。 可使用以下通配字符：百分号%：可匹配任意类型和长度的字符，如果是中文，请使用两个百分号即%%。 下划线_：匹配单个任意字符，它常用来限制表达式的字符长度。 方括号[]：指定一个字符、字符串或范围，要求所匹配对象为它们中的任一个。 [^]：其取值也[] 相同，但它要求所匹配对象为指定字符以外的任一个字符。 例如：限制以Publishing结尾，使用LIKE %Publishing限制以A开头：LIKE [A]%限制以A开头外：LIKE [^A]%4、空值判断符例WHERE age IS NULL5、逻辑运算符：优先级为NOT、AND、OR(四)查询结果排序使用ORDER BY子句对查询返回的结果按一列或多列排序。 ORDER BY子句的语法格式为：ORDER BY {column_name [ASC|DESC]} [,…n]其中ASC表示升序，为默认值，DESC为降序。 ORDER BY不能按ntext、text和image数据类型进行排序。 例如：SELECT *FROM usertableORDER BY age desc,userid ASC另外，可以根据表达式进行排序。 二、 联合查询UNION运算符可以将两个或两个以上上SELECT语句的查询结果集合合并成一个结果集合显示，即执行联合查询。 UNION的语法格式为：select_statementUNION [ALL] selectstatement[UNION [ALL] selectstatement][…n]其中selectstatement为待联合的SELECT查询语句。 ALL选项表示将所有行合并到结果集合中。 不指定该项时，被联合查询结果集合中的重复行将只保留一行。 联合查询时，查询结果的列标题为第一个查询语句的列标题。 因此，要定义列标题必须在第一个查询语句中定义。 要对联合查询结果排序时，也必须使用第一查询语句中的列名、列标题或者列序号。 在使用UNION 运算符时，应保证每个联合查询语句的选择列表中有相同数量的表达式，并且每个查询选择表达式应具有相同的数据类型，或是可以自动将它们转换为相同的数据类型。 在自动转换时，对于数值类型，系统将低精度的数据类型转换为高精度的数据类型。 在包括多个查询的UNION语句中，其执行顺序是自左至右，使用括号可以改变这一执行顺序。 例如：查询1 UNION (查询2 UNION 查询3)三、连接查询通过连接运算符可以实现多个表查询。 连接是关系数据库模型的主要特点，也是它区别于其它类型数据库管理系统的一个标志。 在关系数据库管理系统中，表建立时各数据之间的关系不必确定，常把一个实体的所有信息存放在一个表中。 当检索数据时，通过连接操作查询出存放在多个表中的不同实体的信息。 连接操作给用户带来很大的灵活性，他们可以在任何时候增加新的数据类型。 为不同实体创建新的表，尔后通过连接进行查询。 连接可以在SELECT 语句的FROM子句或WHERE子句中建立，似是而非在FROM子句中指出连接时有助于将连接操作与WHERE子句中的搜索条件区分开来。 所以，在Transact-SQL中推荐使用这种方法。 SQL-92标准所定义的FROM子句的连接语法格式为：FROM join_table join_type join_table[ON (join_condition)]其中join_table指出参与连接操作的表名，连接可以对同一个表操作，也可以对多表操作，对同一个表操作的连接又称做自连接。 join_type 指出连接类型，可分为三种：内连接、外连接和交叉连接。 内连接(INNER JOIN)使用比较运算符进行表间某(些)列数据的比较操作，并列出这些表中与连接条件相匹配的数据行。 根据所使用的比较方式不同，内连接又分为等值连接、自然连接和不等连接三种。 外连接分为左外连接(LEFT OUTER JOIN或LEFT JOIN)、右外连接(RIGHT OUTER JOIN或RIGHT JOIN)和全外连接(FULL OUTER JOIN或FULL JOIN)三种。 与内连接不同的是，外连接不只列出与连接条件相匹配的行，而是列出左表(左外连接时)、右表(右外连接时)或两个表(全外连接时)中所有符合搜索条件的数据行。 交叉连接(CROSS JOIN)没有WHERE 子句，它返回连接表中所有数据行的笛卡尔积，其结果集合中的数据行数等于第一个表中符合查询条件的数据行数乘以第二个表中符合查询条件的数据行数。 连接操作中的ON (join_condition) 子句指出连接条件，它由被连接表中的列和比较运算符、逻辑运算符等构成。 无论哪种连接都不能对text、ntext和image数据类型列进行直接连接，但可以对这三种列进行间接连接。 例如：SELECT _id,_id,_infoFROM pub_info AS p1 INNER JOIN pub_info AS p2ON DATALENGTH(_info)=DATALENGTH(_info)(一)内连接内连接查询操作列出与连接条件匹配的数据行，它使用比较运算符比较被连接列的列值。 内连接分三种：1、等值连接：在连接条件中使用等于号(=)运算符比较被连接列的列值，其查询结果中列出被连接表中的所有列，包括其中的重复列。 2、不等连接： 在连接条件使用除等于运算符以外的其它比较运算符比较被连接的列的列值。 这些运算符包括>、>=、<=、<、!>、!<和><>。 3、自然连接：在连接条件中使用等于(=)运算符比较被连接列的列值，但它使用选择列表指出查询结果集合中所包括的列，并删除连接表中的重复列。 例，下面使用等值连接列出authors和publishers表中位于同一城市的作者和出版社：SELECT *FROM authors AS a INNER JOIN publishers AS pON =又如使用自然连接，在选择列表中删除authors 和publishers 表中重复列(city和state)：SELECT a.*,_id,_name, authors AS a INNER JOIN publishers AS pON =(二)外连接内连接时，返回查询结果集合中的仅是符合查询条件( WHERE 搜索条件或 HAVING 条件)和连接条件的行。 而采用外连接时，它返回到查询结果集合中的不仅包含符合连接条件的行，而且还包括左表(左外连接时)、右表(右外连接时)或两个边接表(全外连接)中的所有数据行。 如下面使用左外连接将论坛内容和作者信息连接起来：SELECT a.*,b.* FROM luntan LEFT JOIN usertable as bON =下面使用全外连接将city表中的所有作者以及user表中的所有作者，以及他们所在的城市：SELECT a.*,b.*FROM city as a FULL OUTER JOIN user as bON =(三)交叉连接交叉连接不带WHERE 子句，它返回被连接的两个表所有数据行的笛卡尔积，返回到结果集合中的数据行数等于第一个表中符合查询条件的数据行数乘以第二个表中符合查询条件的数据行数。 例，titles表中有6类图书，而publishers表中有8家出版社，则下列交叉连接检索到的记录数将等于6*8=48行。 SELECT type,pub_nameFROM titles CROSS JOIN publishersORDER BY type

SQL在查询结果中查询

使用SQL嵌套。 比如Sql直接查询得到结果，简单写法是select * from talbe where a>10;上面Sql可得到结果，从上面结果中再查询，则在外面嵌套一层：select * from (select * from talbe where a>10) where b<5；若查询结果较多，使用嵌套的话会影响查询性能，查询速度会下降。

SQL语句查询两张表

SELECT users.u_name,posts.*

FROM users,posts

WHERE _id=_id