Jakie są sposoby wyliczania parametrów w SQL?

Istnieje kilka sposobów wymieniania parametrów w zapytaniach SQL, które pomagają zapobiegać wstrzykiwaniu SQL i poprawiają czytelność:

1. Parametry pozycyjne: Parametry są definiowane za pomocą symbolu zastępczego (często ? lub $N) i przekazywane do funkcji wykonującej zapytanie w określonej kolejności.

   SELECT * FROM users WHERE id = ? AND status = ?;  
   

   Podczas wykonywania: parametry są przekazywane jako tablica lub lista w tej samej kolejności co znaki zapytania.

2. Parametry nazwane: Parametry są definiowane z prefiksem (często : lub @) i nazwą parametru.

   SELECT * FROM products WHERE category = :category_name AND price > :min_price;  
   

   Podczas wykonywania: parametry są przekazywane jako słownik lub mapa, gdzie klucz jest nazwą parametru, a wartość jest jego wartością.

3. Parametry złożone (niektóre SGBD i ORM): Pozwalają na przekazywanie struktur danych lub obiektów jako pojedynczego parametru. Jest to mniej uniwersalne i zależy od konkretnej implementacji. Na przykład w PostgreSQL można używać JSON.

   SELECT * FROM orders WHERE details @> ?;  -- details to pole typu JSONB  
   

   Podczas wykonywania: przekazuje się łańcuch JSON lub obiekt, który SGBD może zinterpretować.

Wybór metody zależy od używanego SGBD, sterownika/ORM i osobistych preferencji. Najczęściej stosowane metody to parametry pozycyjne i nazwane. Użycie zapytań parametryzowanych jest standardową praktyką bezpiecznej pracy z bazami danych.