Quali sono i modi per elencare i parametri in SQL?

Esistono diversi modi per elencare i parametri nelle query SQL, che aiutano a prevenire le injection SQL e migliorare la leggibilità:

1. Parametri posizionali: I parametri sono definiti con un segnaposto (spesso ? o $N) e vengono passati alla funzione di esecuzione della query in un ordine specifico.

   SELECT * FROM users WHERE id = ? AND status = ?;  
   

   Durante l'esecuzione: i parametri vengono passati come array o lista nello stesso ordine dei punti interrogativi.

2. Parametri nominati: I parametri sono definiti con un prefisso (spesso : o @) seguito dal nome del parametro.

   SELECT * FROM products WHERE category = :category_name AND price > :min_price;  
   

   Durante l'esecuzione: i parametri vengono passati come dizionario o mappa, dove la chiave è il nome del parametro e il valore è il suo valore.

3. Parametri compositi (alcuni SGBD e ORM): Permettono di passare strutture di dati o oggetti come un singolo parametro. Questo è meno universale e dipende dall'implementazione specifica. Ad esempio, in PostgreSQL si può usare JSON.

   SELECT * FROM orders WHERE details @> ?;  -- details è un campo di tipo JSONB  
   

   Durante l'esecuzione: si passa una stringa JSON o un oggetto che il SGBD può interpretare.

La scelta del metodo dipende dal SGBD, dal driver/ORM e dalle preferenze personali. I metodi più comuni sono i parametri posizionali e nominati. L'uso di query parametrizzate è una pratica standard per lavorare in modo sicuro con i database.