როგორ შეიძლება პარამეტრების ჩამონათვალი გაკეთდეს SQL-ში?

SQL სვეტებში პარამეტრების ჩამოთვლის რამდენიმე გზა არსებობს, რომლებიც ეხმარება SQL ინექციების თავიდან აცილებას და გაუმჯობესებს წაკითხვას:

1. პოზიციური პარამეტრები: პარამეტრები განსაზღვრულია გამოტანით (ხშირად ? ან $N) და გადაეცემა სვეტის შესრულების ფუნქციას გარკვეულ წესრიგში.

   SELECT * FROM users WHERE id = ? AND status = ?;  
   

   შესრულების დროს: პარამეტრები გადაეცემა მასივის ან სიის სახით იმავე წესრიგში, როგორც კითხვითი ნიშნები.

2. სახელით მითითებული პარამეტრები: პარამეტრები განსაზღვრულია პრეფიქსით (ხშირად : ან @) და შემდეგ მოდის პარამეტრის სახელი.

   SELECT * FROM products WHERE category = :category_name AND price > :min_price;  
   

   შესრულების დროს: პარამეტრები გადაეცემა სიტყვაკით ან რუკით, სადაც გასაღები არის პარამეტრის სახელი, ხოლო მნიშვნელობა — მისი მნიშვნელობა.

3. კომპოზიციური პარამეტრები (ზოგი SGBD და ORM): საშუალებას აძლევს მონაცემთა სტრუქტურების ან ობიექტების გადაცემას ერთ პარამეტრად. ეს ნაკლებად უნივერსალურია და დამოკიდებულია კონკრეტულ განხორციელებაზე. მაგალითად, PostgreSQL-ში შეიძლება გამოყენებულ იქნას JSON.

   SELECT * FROM orders WHERE details @> ?;  -- details არის JSONB ტიპის ველი
   

   შესრულების დროს: გადაეცემა JSON სტრიქონი ან ობიექტი, რომელსაც SGBD შეუძლია გააანალიზოს.

მეთოდის არჩევა დამოკიდებულია გამოყენებულ SGBD-ზე, დრაივერზე/ORM-ზე და პირად პრეფერენციებზე. ყველაზე გავრცელებული მეთოდებია პოზიციური და სახელით მითითებული პარამეტრები. პარამეტრიზებული შეკითხვების გამოყენება არის სტანდარტული პრაქტიკა უსაფრთხო მუშაობისთვის მონაცემთა ბაზებთან.