Kaip išvardyti parametrus SQL?

Yra keletas būdų išvardyti parametrus SQL užklausose, kurie padeda išvengti SQL injekcijų ir pagerina skaitomumą:

1. Poziciniai parametrai: Parametrai apibrėžiami vietos žymekliu (dažniausiai ? arba $N) ir perduodami vykdymo funkcijai tam tikru tvarka.

   SELECT * FROM users WHERE id = ? AND status = ?;  
   

   Vykdant: parametrai perduodami kaip masyvas arba sąrašas toje pačioje tvarkoje kaip klaustukai.

2. Vardiniai parametrai: Parametrai apibrėžiami su prefiksu (dažniausiai : arba @) ir po to eina parametru pavadinimas.

   SELECT * FROM products WHERE category = :category_name AND price > :min_price;  
   

   Vykdant: parametrai perduodami kaip žodynas arba žemėlapis, kur raktas yra parametru pavadinimas, o reikšmė — jo reikšmė.

3. Sudėtiniai parametrai (kai kurie SGBD ir ORM): Leidžia perduoti duomenų struktūras arba objektus kaip vieną parametrą. Tai mažiau universalus būdas ir priklauso nuo konkrečios įgyvendinimo. Pavyzdžiui, PostgreSQL galima naudoti JSON.

   SELECT * FROM orders WHERE details @> ?;  -- details yra JSONB tipo laukas
   

   Vykdant: perduodama JSON eilutė arba objektas, kurį SGBD gali interpretuoti.

Pasirinkimas priklauso nuo naudojamo SGBD, vairuotojo/ORM ir asmeninių pageidavimų. Dažniausiai naudojami poziciniai ir vardiniai parametrai. Parametrizuotų užklausų naudojimas yra standartinė praktika saugiam darbui su duomenų bazėmis.