SQL参数化查询与问号

在查阅SQL文档时，您可能会在查询中遇到问号（?）。这些占位符代表参数化查询，广泛用于在程序中执行动态SQL。

参数化查询具有诸多优势。它们通过将参数值与查询本身分离来简化代码，使其更高效、更灵活。此外，它们通过防止SQL注入攻击来增强安全性。

例如，在一个伪代码示例中：

ODBCCommand cmd = new ODBCCommand("SELECT thingA FROM tableA WHERE thingB = 7")
result = cmd.Execute()

可以改写为：

ODBCCommand cmd = new ODBCCommand("SELECT thingA FROM tableA WHERE thingB = ?")
cmd.Parameters.Add(7)
result = cmd.Execute()

此技术确保正确的字符串转义，消除了SQL注入的风险。考虑以下场景：

string s = getStudentName()
cmd.CommandText = "SELECT * FROM students WHERE (name = '"   s   "')"
cmd.Execute()

如果用户输入字符串 Robert'); DROP TABLE students; --，则可能发生SQL注入攻击。但是，使用参数化查询：

s = getStudentName()
cmd.CommandText = "SELECT * FROM students WHERE name = ?"
cmd.Parameters.Add(s)
cmd.Execute()

库函数会对输入进行清理，防止恶意代码执行。

或者，Microsoft SQL Server 使用命名参数，这提高了可读性和清晰度：

cmd.Text = "SELECT thingA FROM tableA WHERE thingB = @varname"
cmd.Parameters.AddWithValue("@varname", 7)
result = cmd.Execute()