Sql Server 的参数化查询
为什么要使用参数化查询呢?参数化查询写起来看起来都麻烦,还不如用拼接sql语句来的方便快捷。当然,拼接sql语句执行查询虽然看起来方便简洁,其实不然。远没有参数化查询来的安全和快捷。
今天刚好了解了一下关于sql server 参数化查询和拼接sql语句来执行查询的一点区别。
参数化查询与拼接sql语句查询相比主要有两点好处:
1、防止sql注入
2、 提高性能(复用查询计划)
首先我们来谈下参数化查询是如何防止sql注入的这个问题吧。
防注入例子:
拼接sql语句:
("select * from user where name={0}",username) 或者 ("select * from user where name="+username)
当 name传进来是一个'aa';truncate table user 的时候,这样会导致直接清除整个表数据
"select * from user where name='aa';truncate table user
我们使用参数化的时候:
("select * from user where name=@username",new {username=username})
这时候即使我们传进来的是'aa';truncate table user ,数据库端也会把这些当做字符串处理,执行的sql语句会变成
select * from user where name=''aa';truncate table user '
实际上把'aa';truncate table user 这个当做了name的值做查询条件了
以上就是一个简单的例子介绍关于参数化查询如何防止sql注入。
再看到底是如何提高性能的呢?
复用查询计划:
select * from au_user where id=1 select * from au_user where id=2
sql server在执行一条查询语句之前都对对它进行“编译 ”并生成“查询计划”,上面两条查询语句生成的查询计划就是两条不一样的查询计划,在下面这张图片当中我们可以去尝试下执行这两条sql语句
,结果显而易见会生成两条查询计划,id后面所接的参数不一致。
然后我们再来看看使用参数化查询
select * from au_user where id=@id
这样不管你传的参数是多少,执行编译生成的查询计划都是 select * from au_user where id=@id,这样可以实现查询计划的复用,并不需要同一个查询去生成多个查询计划
完全可以节省其中生成查询计划的时间
推荐阅读
-
SQL Server数据库的存储机制讲解
-
SQL Server2005下的安全操作技巧分享
-
在登录触发器错误情况下连接SQL Server的方法
-
C#访问SQL Server数据库的实现方法
-
SQL Server统计信息更新时采样百分比对数据预估准确性的影响详解
-
SQL Server 分页编号的另一种方式【推荐】
-
Sql Server安装出错,安装程序配置服务器失败的解决方法小结
-
基于SQL2005 SQL2008 表结构信息查询升级版的详解(含外键信息)
-
在sqlserver2005中安装sql server 2000的示例数据库northwind的方法
-
SQL Server 2005删除日志文件的几种方法小结