Welche Möglichkeiten gibt es, Parameter in SQL aufzulisten?

Es gibt mehrere Möglichkeiten, Parameter in SQL-Abfragen aufzulisten, die helfen, SQL-Injektionen zu verhindern und die Lesbarkeit zu verbessern:

1. Positionsparameter: Parameter werden durch einen Platzhalter (oft ? oder $N) definiert und in der Ausführungsfunktion der Abfrage in einer bestimmten Reihenfolge übergeben.

   SELECT * FROM users WHERE id = ? AND status = ?;  
   

   Bei der Ausführung: Die Parameter werden in einem Array oder einer Liste in der gleichen Reihenfolge wie die Fragezeichen übergeben.

2. Benannte Parameter: Parameter werden mit einem Präfix (oft : oder @) gefolgt vom Parameternamen definiert.

   SELECT * FROM products WHERE category = :category_name AND price > :min_price;  
   

   Bei der Ausführung: Die Parameter werden als Wörterbuch oder Karte übergeben, wobei der Schlüssel der Parametername ist und der Wert sein Wert.

3. Komplexe Parameter (einige DBMS und ORM): Ermöglichen das Übergeben von Datenstrukturen oder Objekten als einen einzigen Parameter. Dies ist weniger universell und hängt von der spezifischen Implementierung ab. Zum Beispiel kann man in PostgreSQL JSON verwenden.

   SELECT * FROM orders WHERE details @> ?;  -- details ist ein JSONB-Feld  
   

   Bei der Ausführung: Es wird eine JSON-String oder ein Objekt übergeben, das vom DBMS interpretiert werden kann.

Die Wahl der Methode hängt vom verwendeten DBMS, Treiber/ORM und persönlichen Vorlieben ab. Die gebräuchlichsten Methoden sind positionsabhängige und benannte Parameter. Die Verwendung parametrischer Abfragen ist eine Standardpraxis für eine sichere Arbeit mit Datenbanken.