参数化查询
✍ dations ◷ 2024-09-20 11:59:07 #数据库,网络安全,SQL
参数化查询(parameterized query 或 parameterized statement)是指在设计与数据库链接并访问资料时,在需要填入数值或资料的地方,使用参数(parameter)来给值,这个方法目前已被视为最有效可预防SQL注入攻击的攻击手法的防御方式。
除了安全因素,相比起拼接字符串的SQL语句,参数化的查询往往有性能优势。因为参数化的查询能令不同的数据通过参数到达数据库,从而共享同一条SQL语句。大多数数据库会缓存解释SQL语句产生的字节码而省下重复解析的开销。如果采取拼接字符串的SQL语句,则会由于操作数据是SQL语句的一部分而非参数的一部分,而反复大量解释SQL语句产生不必要的开销。
在使用参数化查询的情况下,数据库服务器不会将参数的内容视为SQL指令的一部分来处理,而是在数据库完成SQL指令的编译后,才套用参数运行,因此就算参数中含有具破坏性的指令,也不会被数据库所运行。
在撰写SQL指令时,利用参数来代表需要填入的数值,例如:
Microsoft SQL Server的参数格式是以"@"字符加上参数名称而成,SQL Server亦支持匿名参数"?"。
SELECT * FROM myTable WHERE myID = @myID
INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2, @c3, @c4)
Microsoft Access
Microsoft Access不支持具名参数,只支持匿名参数"?"。
UPDATE myTable SET c1 = ?, c2 = ?, c3 = ? WHERE c4 = ?
MySQL
MySQL的参数格式是以"@"字符加上参数名称而成。
set @c1 := xxx;set @c2 := xxx; set @c3 := xxx;set @c4 := xxx;UPDATE myTable SET c1 = @c1, c2 = @c2, c3 = @c3 WHERE c4 = @c4
PostgreSQL/SQLite
PostgreSQL和SQLite的参数格式是以“:”加上参数名而成。当然,也支持类似Access的匿名参数。
UPDATE "myTable" SET "c1" = :c1, "c2" = :c2, "c3" = :c3 WHERE "c4" = :c4
客户端程序撰写方法
在客户端代码中撰写使用参数的代码,例如:
ADO.NET用于ASP.NET之内。
SqlCommand sqlcmd = new SqlCommand("INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2, @c3, @c4)", sqlconn);sqlcmd.Parameters.AddWithValue("@c1", 1); // 設定參數@c1的值。sqlcmd.Parameters.AddWithValue("@c2", 2); // 設定參數@c2的值。sqlcmd.Parameters.AddWithValue("@c3", 3); // 設定參數@c3的值。sqlcmd.Parameters.AddWithValue("@c4", 4); // 設定參數@c4的值。sqlconn.Open();sqlcmd.ExecuteNonQuery();sqlconn.Close();
PDO
PDO用于PHP之内。在使用PDO驱动时,参数查询的使用方法一般为:
// 实例化数据抽象层对象$db = new PDO('pgsql:host=127.0.0.1;port=5432;dbname=testdb');// 对SQL语句执行prepare,得到PDOStatement对象$stmt = $db->prepare('SELECT * FROM "myTable" WHERE "id" = :id AND "is_valid" = :is_valid');// 绑定参数$stmt->bindValue(':id', $id);$stmt->bindValue(':is_valid', true);// 查询$stmt->execute();// 获取数据foreach($stmt as $row) { var_dump($row);}
对于MySQL的特定驱动,也可以这样使用:
$db = new mysqli("localhost", "user", "pass", "database");$stmt = $db -> prepare("SELECT priv FROM testUsers WHERE username=? AND password=?");$stmt -> bind_param("ss", $user, $pass);$stmt -> execute();
值得注意的是,以下方式虽然能有效防止SQL注入(归功于mysql_real_escape_string函数的转义),但并不是真正的参数化查询。其本质仍然是拼接字符串的SQL语句。
$query = sprintf("SELECT * FROM Users where UserName='%s' and Password='%s'", mysql_real_escape_string($Username), mysql_real_escape_string($Password));mysql_query($query);
ODBC/JDBC
ODBC 使用 C 样式的函数 / 句柄接口,而 JDBC 用于 Java 之内。
相关
- 会厌炎会厌炎(Epiglottitis)是会厌部位(舌根部上方的软骨,可避免食物进入气管)的发炎。症状一般会出现的很快,症状包括吞咽困难,也会造成流口水、声音改变、发烧以及呼吸加快等症状,因为会
- 环节动物环节动物门(学名:Annelida)是动物界的一个门,该门动物为两侧对称、同律分节的裂生体腔动物,有的具疣足和刚毛,多闭管式循环系统、链式神经系统。常见环节动物有:蚯蚓、蚂蟥(又称水蛭
- 埃德温·霍华德·阿姆斯特朗埃德温·霍华德·阿姆斯特朗(英语:Edwin Howard Armstrong,1890年12月18日-1954年1月31日),美国无线电工程师,调频广播技术的发明者。1913年毕业于哥伦比亚大学,1912年发明再生式振
- 泰格马克马克斯·埃里克·泰格马克(英语:Max Erik Tegmark,1967年5月5日-),宇宙学家,拥有美国与瑞典双重国籍。他现为麻省理工学院教授、基础问题研究所(英语:Foundational Questions Institu
- 库塔坐标:8°44′S 115°10′E / 8.733°S 115.167°E / -8.733; 115.167库塔区位于印尼巴厘岛南端,是一个旅游胜地。库塔海滩平坦而洁白,适于冲浪和日光浴。库塔曾于2002年和2005
- 银氨溶液银氨溶液,又称氢氧化四氨合银,俗称苛性银,是含有二氨合银(I)配离子(+)的水溶液,一般由硝酸银或其他银化合物与氨水反应制取,溶于水中能够完全离解出氢氧根离子,故属于强碱,具腐蚀性。
- 桑德琳·波奈儿桑德琳·波奈儿(法语:Sandrine Bonnaire,1967年5月31日-)是法国著名电影演员,她曾以电影《没有屋顶,也没有法律》(Sans toit ni loi)获得1986年法国凯撒奖最佳女主角奖。桑德琳·波奈
- 十五碑十五碑(马来语:Brickfields)是马来西亚吉隆坡市中心以西南的一个区域,开埠历史悠久,也是吉隆坡乃至巴生谷地区印度裔的主要聚集之处,故也被称为吉隆坡的“小印度”(Little India)。
- 2010年台湾人口及住宅普查2010年台湾人口及住宅普查是台湾自1905年以来举行的第13次人口普查。
- 艾夫伦·雷耶斯艾夫伦·马纳朗·雷耶斯,OLD, PLH(Efren Manalang Reyes,1954年8月26日-),绰号“魔术师”,是一名菲律宾职业花式台球选手。雷耶斯是70多个国际冠军得主,是第一个在两个不同台球项目