说说抽象SQL(参数化)的查询

什么是参数化查询?

一，定义

参数化查询(Parameterized Query 或 Parameterized Statement)是指在设计与数据库链接并访问数据时，在需要填入数值或数据的地方，使用参数 (Parameter) 来给值，这个方法目前已被视为最有效可预防SQL注入攻击 (SQL Injection) 的攻击手法的防御方式。

有部份的开发人员可能会认为使用参数化查询，会让程序更不好维护，或者在实现部份功能上会非常不便，然而，使用参数化查询造成的额外开发成本，通常都远低于因为SQL注入攻击漏洞被发现而遭受攻击，所造成的重大损失。

原理

在使用参数化查询的情况下，数据库服务器不会将参数的内容视为SQL指令的一部份来处理，而是在数据库完成 SQL 指令的编译后，才套用参数运行，因此就算参数中含有具有损的指令，也不会被数据库所运行。

SQL 指令撰写方法

在撰写 SQL 指令时，利用参数来代表需要填入的数值，例如：

Microsoft SQL Server

Microsoft SQL Server 的参数格式是以 "@" 字符加上参数名称而成，SQL Server 亦支持匿名参数 "?"。

SELECT * FROM myTable WHERE myID = @myID

INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2, @c3, @c4)

Microsoft Access

Microsoft Access 不支持具名参数，只支持匿名参数 "?"。

UPDATE myTable SET c1 = ?, c2 = ?, c3 = ? WHERE c4 = ?

MySQL

MySQL 的参数格式是以 "?" 字符加上参数名称而成。

UPDATE myTable SET c1 = ?c1, c2 = ?c2, c3 = ?c3 WHERE c4 = ?c4

Oracle

Oracle 的参数格式是以 ":" 字符加上参数名称而成。

UPDATE myTable SET c1 = :c1, c2 = :c2, c3 = :c3 WHERE c4 = :c4

PostgreSQL

PostgreSQL 的参数格式是以 "$" 字符加上参数顺序号而成。

UPDATE myTable SET c1 = $1, c2 = $2, c3 = $3 WHERE c4 = $4

PostgreSQL也支持Oracle的参数表示形式

--------------------------------------------------------------------------------

总结一下各数据库对于参数符号的定义：

SQLSERVER @

Access，MySQL ?

Oracle ：

PostgreSQL $

上面的这些符号是各数据库内部原生支持的方式，但是具体到ADO.NET调用的时候，采用各数据库原生的.NET驱动程序，发现除了Oracle，各种数据库都可以在SQL语句中用@符号表示参数;

采用各数据库的OleDB或者ODBC驱动程序，都要求使用 ?符号表示参数。

还有其它本文未说到的数据库，他们的SQL语句表示参数的符号可能都是不一样的，怎么样在程序里面统一处理呢?本文主题开始了：

二，抽象SQL参数化查询

在PDF.NET数据开发框架中，对参数的定义统一采用##来处理，具体格式如下：

#参数名字[:参数类型],[数据类型],[参数长度],[参数输出输入类型]#

上面定义当中，中括号里面的内容都是可选的。

详细内容，请参看“SQL-MAP规范”

对本文第一部分的示例，可以改写成下面的方式：

 
 
 
    
  
  
  
  1. UPDATE myTable SET   
    2. 
  
  
  
  2. c1 = #c1#,   
    3. 
  
  
  
  3. c2 = #c2:String#,   
    4. 
  
  
  
  4. c3 = #c3:String,Sring,50#   
    5. 
  
  
  
  5. WHERE c4 = #c4:Int32#  
    6.

如果不指定参数的类型，默认为String类型，例如c1参数。

程序在运行时，会根据当前具体的数据库访问程序实例，将##内部的参数替换成合适的参数内容。

上面这种参数形式是写在SQL-MAP配置文件里面的，例如下面的一个实际的SQL-MAP查询脚本：

 
 
 
    
  
  
  
  1.  
    2. 
  
  
  
  2.        
  
  
  
  3.     SELECT a.角色,a.销售金额/10000 销售金额,a.占比 FROM [GetStatisticsAnalysis_SalerRoleStatistics] (  
    4. 
  
  
  
  4.    #manageid:Int32#, #min:String#, #max:String#) a]]> 
    5. 
  
  
  
  5.       
    6.

通过这种方式，完全屏蔽了不同种类的数据库查询的参数问题，将SQL参数化查询抽象了出来。

看到这里本文似乎该结束了，但本文的标题“参数化”加了一个括号，说明我们抽象的不仅仅是参数，我们还可以抽象整个SQL查询。

三，抽象SQL查询：SQL-MAP技术

在本文第二部分，我们将SQL中的参数“抽象化”了，我们还可以进一步抽象整个SQL，看下面的抽象过程：

  1. 编写任意形式的合法SQL查询语句;
  2. 抽象SQL中的参数;
  3. 将整个SQL语句抽象成一个唯一名字为CommandName;
  4. 将一组CommandName映射到一个DAL类文件;
  5. 将这个CommandName映射到一个DAL类的方法名称;
  6. 将SQL语句中的参数名称映射到该DAL类的当前方法中的参数名称;
  7. 将整个SQL脚本文件映射到一个DAL程序集。

这个思想，就是SQL-MAP，将SQL语句映射为程序的。

下面我们介绍一下PDF.NET数据开发框架对于存储过程的操作思路，当然对于单条SQL也是如此。当然，单条SQL语句的操作我们不必请出SQL-MAP这种“重量级”的方式，还是使用框架中的ORM技术OQL吧，但这不是本文讨论的话题。

首先，在SQL-MAP配置文件里面写下面的脚本：

 
 
 
    
  
  
  
  1.     
    2. 
  
  
  
  2. 
  
  
  
  3. select * from GetProductManage_FundSaleAndAIP(#Type:String#,#Name:String#,#isAIP:String#)    
    4. 
  
  
  
  4. ]]>   
    5. 
  
  
  
  5.     
    6.

注意脚本中的ResultClass属性，它可以将查询映射成为单值，DataSet，实体类，实体类集合。

有了这个SQL-MAP文件，我们可以使用代码工具自动生成下面的代码(当然你也可以手写)：

 
 
 
    
  
  
  
  1. ///     
    2. 
  
  
  
  2.    /// 获取XXXXX列表    
    3. 
  
  
  
  3.    ///     
    4. 
  
  
  
  4.    ///     
    5. 
  
  
  
  5.    ///     
    6. 
  
  
  
  6.    ///     
    7. 
  
  
  
  7.    ///     
    8. 
  
  
  
  8.    public DataSet GetProductManage_FundSaleAndAIP(String Type  , String Name  , String isAIP   )     
    9. 
  
  
  
  9.    {     
    10. 
  
  
  
  10.            //获取命令信息    
    11. 
  
  
  
  11.            CommandInfo cmdInfo=Mapper.GetCommandInfo("GetProductManage_FundSaleAndAIP");    
    12. 
  
  
  
  12.            //参数赋值，推荐使用该种方式；    
    13. 
  
  
  
  13.            cmdInfo.DataParameters[0].Value = Type;    
    14. 
  
  
  
  14.            cmdInfo.DataParameters[1].Value = Name;    
    15. 
  
  
  
  15.            cmdInfo.DataParameters[2].Value = isAIP;    
    16. 
  
  
  
  16.            //参数赋值，使用命名方式；    
    17. 
  
  
  
  17.            //cmdInfo.SetParameterValue("@Type", Type);    
    18. 
  
  
  
  18.            //cmdInfo.SetParameterValue("@Name", Name);    
    19. 
  
  
  
  19.            //cmdInfo.SetParameterValue("@isAIP", isAIP);    
    20. 
  
  
  
  20.            //执行查询    
    21. 
  
  
  
  21.            return CurrentDataBase.ExecuteDataSet(CurrentDataBase.ConnectionString, cmdInfo.CommandType, cmdInfo.CommandText , cmdInfo.DataParameters);    
    22. 
  
  
  
  22.        //    
    23. 
  
  
  
  23.    }//End Function   
    24.

从上面的过程可以看出，框架采用SQL-MAP技术，将SQL语句(包括各种查询的单条SQL语句和存储过程等)映射成了DAL层代码，整个过程不需要了解.NET开发技术，所以DAL层的代码完全可以由DBA来写，而业务开发人员只要调用DAL代码即可。

采用这种技术，DBA可以写高效的有数据库特性的SQL，如果要换数据库，只需要换一个配置文件即可，不需要重写程序。

题外话：

SQL-MAP思想并非PDF.NET数据开发框架独有，实际上，该思想也是从著名的iBatis框架借鉴而来的，但与iBatis不同的是，PDF.NET的SQL-MAP参数不需要定义专门的“参数类”，也不需要写额外的XML文件指明查询结果如何与实体类映射，所以整个开发过程大大简化，简化到你只需要会写SQL语句，就可以写DAL代码。

网页名称：说说抽象SQL(参数化)的查询
当前网址：http://www.shufengxianlan.com/qtweb/news13/358213.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联

猜你还喜欢下面的内容

营销型网站建设知识

同城分类信息

橡塑保温板　　 　网络推广公司　　 　成都名片印刷厂　　 　网站ssl证书　　 　德阳定制网站建设　　 　一带一路　　 　网站开发　　 　服务器租用　　 　app软件开发公司　　 　资阳做网站　　 　免备案虚拟主机空间　　 　手机网站开发　　 　航空文化传媒　　 　移动APP　　 　服务器机柜租用　　 　兴久牧业　　 　网站设计　　 　成都网页设计　　 　成都企业网站建设公司　　 　力比特工程