Milyen módon lehet felsorolni a paramétereket SQL-ben?

Számos módja van az SQL-lekérdezésekben a paraméterek felsorolásának, amelyek segítenek megelőzni az SQL-injektálást és javítják az olvashatóságot:

1. Pozíciós paraméterek: A paramétereket helykitöltővel (gyakran ? vagy $N) határozzák meg, és a lekérdezés végrehajtási függvényének adott sorrendben adják át.

   SELECT * FROM users WHERE id = ? AND status = ?;  
   

   Végrehajtáskor: a paramétereket tömbként vagy listaként adják át ugyanabban a sorrendben, mint a kérdőjelek.

2. Névtelen paraméterek: A paramétereket prefixummal (gyakran : vagy @) határozzák meg, majd a paraméter nevét írják utána.

   SELECT * FROM products WHERE category = :category_name AND price > :min_price;  
   

   Végrehajtáskor: a paramétereket szótárként vagy térképként adják át, ahol a kulcs a paraméter neve, az érték pedig az értéke.

3. Összetett paraméterek (egyes SGBD-k és ORM-ek): Lehetővé teszik adatszerkezetek vagy objektumok átadását egyetlen paraméterként. Ez kevésbé univerzális, és az adott implementációtól függ. Például PostgreSQL-ben JSON-t lehet használni.

   SELECT * FROM orders WHERE details @> ?;  -- details egy JSONB típusú mező
   

   Végrehajtáskor: JSON-sztring vagy objektum kerül átadásra, amit az SGBD értelmezhet.

A módszer kiválasztása az adott SGBD-től, a driver/ORM-től és a személyes preferenciáktól függ. A leggyakoribb módszerek a pozíciós és névtelen paraméterek. A paraméterezett lekérdezések használata biztonságos munkát tesz lehetővé az adatbázisokkal.