Kuidas SQL-is parameetreid loetleda?

SQL-küsimustes on mitu viisi parameetrite loetlemiseks, mis aitavad vältida SQL-injekte ja parandada loetavust:

1. Positsioonilised parameetrid: Parameetrid määratletakse asendusmärgiga (tihti ? või $N) ja edastatakse päringu täitmise funktsioonile kindlas järjekorras.

   SELECT * FROM users WHERE id = ? AND status = ?;  
   

   Täitmisel: parameetrid edastatakse massiivi või nimekirjana samas järjekorras kui küsimärgid.

2. Nimetatud parameetrid: Parameetrid määratletakse prefiksiga (tihti : või @) ja sellele järgneb parameetri nimi.

   SELECT * FROM products WHERE category = :category_name AND price > :min_price;  
   

   Täitmisel: parameetrid edastatakse sõnastiku või kaardi kujul, kus võti on parameetri nimi ja väärtus on selle väärtus.

3. Kombineeritud parameetrid (mõned SGBD ja ORM): Annab võimaluse edastada andmestruktuure või objekte ühe parameetrina. See on vähem universaalne ja sõltub konkreetse rakenduse teostusest. Näiteks PostgreSQL-is saab kasutada JSON-i.

   SELECT * FROM orders WHERE details @> ?;  -- details on JSONB-tüüpi väli
   

   Täitmisel: edastatakse JSON-string või objekt, mida SGBD saab tõlgendada.

Parameetri valik sõltub kasutatavast SGBD-st, draiverist/ORM-ist ja isiklikest eelistustest. Kõige levinumad meetodid on positsioonilised ja nimelised parameetrid. Parameetritega päringute kasutamine on standardne praktika turvaliseks andmebaasiga töötamiseks.