什么是参数化查询？
参数化查询是一种将 SQL 语句的“结构”和“数据”分开处理的技术，你先定义一个带有占位符的 SQL 模板，然后告诉数据库引擎这个模板的格式是正确的，之后，你再将具体的参数值传递给数据库引擎，由引擎将参数安全地“注入”到模板中，并最终执行完整的 SQL 语句。
（图片来源网络，侵删）
- 发送模板：
INSERT INTO Users (Name, Email) VALUES (?, ?) - 发送数据：
"John Doe","john@example.com"
为什么要使用参数化查询？（核心优势）
使用参数化查询至关重要,主要有以下三大优势：
防止 SQL 注入攻击
这是最重要的原因，SQL 注入是一种恶意攻击，攻击者通过在输入字段中插入恶意的 SQL 代码，来篡改或破坏你的数据库。
不使用参数化查询的危险示例：
假设你有一个登录功能,用户输入用户名和密码。
（图片来源网络，侵删）
# 危险的代码！不要这样做！
username = input("请输入用户名: ")
password = input("请输入密码: ")
# 直接将用户输入拼接到 SQL 语句中
sql = f"SELECT * FROM Users WHERE Username = '{username}' AND Password = '{password}'"
如果攻击者在用户名输入框中输入：' OR '1'='1，那么最终执行的 SQL 语句会变成：
SELECT * FROM Users WHERE Username = '' OR '1'='1' AND Password = 'whatever'
这个 WHERE 子句永远是 TRUE，攻击者就可以无需密码登录任何账户。
使用参数化查询的安全示例：
# 安全的代码
username = input("请输入用户名: ")
password = input("请输入密码: ")
# 使用占位符 (?) 来表示参数
sql = "SELECT * FROM Users WHERE Username = ? AND Password = ?"
# 将参数和 SQL 模板分开传递给数据库引擎
cursor.execute(sql, (username, password))
在这种情况下,无论攻击者输入什么内容（' OR '1'='1），数据库引擎都会将其视为一个字符串字面量，而不是 SQL 代码的一部分，最终执行的逻辑永远是“查找用户名等于 ' OR '1'='1 的用户”，而不是执行恶意的 OR 逻辑。
（图片来源网络，侵删）
提高性能
当你多次执行结构相同但参数不同的 SQL 语句时，数据库引擎可以只对 SQL 模板进行一次编译和缓存（创建一个执行计划）。
当后续执行时,它只需要直接使用缓存的计划，并将新的参数值“绑定”进去即可，而无需重新解析和编译整个 SQL 语句，这能显著减少 CPU 开销，提高执行效率。
场景示例： 在一个循环中插入 1000 条记录。
# 低效：每次都要编译完整的 SQL 语句
for i in range(1000):
sql = f"INSERT INTO Logs (Message) VALUES ('Log message {i}')"
cursor.execute(sql)
# 高效：SQL 模板只编译一次，后续只需绑定新参数
sql_template = "INSERT INTO Logs (Message) VALUES (?)"
for i in range(1000):
log_message = f'Log message {i}'
cursor.execute(sql_template, (log_message,))
提高代码可读性和可维护性
将 SQL 逻辑和数据分开，使得代码更清晰，如果你需要修改 SQL 语句的结构（比如修改表名或字段名），你只需要修改 SQL 模板字符串，而不需要去寻找并修改所有拼接变量的地方。
不同编程语言和数据库中的实现
参数化查询的语法在不同驱动中略有不同,但核心思想一致，最常见的占位符是 。
Python (使用 sqlite3 或 psycopg2 等)
Python 的 sqlite3 模块是内置的，非常适合演示。
import sqlite3
# 1. 连接到数据库
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
# 2. 定义带有占位符 (?) 的 SQL 模板
sql = "INSERT INTO Products (Name, Price, Stock) VALUES (?, ?, ?)"
# 3. 定义要插入的数据（元组或列表）
new_product = ("Laptop", 1200.50, 50)
# 4. 执行查询，将参数作为第二个参数传递
cursor.execute(sql, new_product)
# 5. 提交事务
conn.commit()
# 6. 关闭连接
conn.close()
Java (使用 JDBC)
Java 的 JDBC 是参数化查询的典范。
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.SQLException;
public class InsertExample {
public static void main(String[] args) {
String url = "jdbc:mysql://localhost:3306/mydatabase";
String user = "user";
String password = "password";
// SQL 模板，使用 ? 作为占位符
String sql = "INSERT INTO Customers (Name, Email, RegistrationDate) VALUES (?, ?, ?)";
try (Connection conn = DriverManager.getConnection(url, user, password);
PreparedStatement pstmt = conn.prepareStatement(sql)) {
// 使用 setXxx() 方法为每个占位符设置值
pstmt.setString(1, "Alice Wonderland"); // 第一个 ? 设置为字符串
pstmt.setString(2, "alice@example.com"); // 第二个 ? 设置为字符串
pstmt.setDate(3, java.sql.Date.valueOf("2025-10-27")); // 第三个 ? 设置为日期
// 执行插入
int affectedRows = pstmt.executeUpdate();
System.out.println(成功插入 " + affectedRows + " 行数据。");
} catch (SQLException e) {
e.printStackTrace();
}
}
}
C# (使用 ADO.NET)
using System;
using System.Data.SqlClient;
class Program
{
static void Main()
{
string connectionString = "Server=myServer;Database=myDatabase;User Id=myUser;Password=myPassword;";
string sql = "INSERT INTO Orders (CustomerID, OrderDate, TotalAmount) VALUES (@CustomerID, @OrderDate, @TotalAmount)";
using (SqlConnection conn = new SqlConnection(connectionString))
using (SqlCommand cmd = new SqlCommand(sql, conn))
{
// 使用命名参数 (@param) 更具可读性
cmd.Parameters.AddWithValue("@CustomerID", 123);
cmd.Parameters.AddWithValue("@OrderDate", DateTime.Now);
cmd.Parameters.AddWithValue("@TotalAmount", 99.99);
conn.Open();
int rowsAffected = cmd.ExecuteNonQuery();
Console.WriteLine($"成功插入 {rowsAffected} 行数据。");
}
}
}
注意：在 C# 中，通常使用 @param 作为命名占位符，这比 更清晰。
PHP (使用 PDO)
<?php
$host = 'localhost';
$db = 'mydatabase';
$user = 'user';
$pass = 'password';
$charset = 'utf8mb4';
$dsn = "mysql:host=$host;dbname=$db;charset=$charset";
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_EMULATE_PREPARES => false,
];
try {
$pdo = new PDO($dsn, $user, $pass, $options);
} catch (\PDOException $e) {
throw new \PDOException($e->getMessage(), (int)$e->getCode());
}
// SQL 模板，使用命名占位符 :name
$sql = "INSERT INTO Articles (Title, Content, Author) VALUES (:title, :content, :author)";
$stmt = $pdo->prepare($sql);
// 绑定参数并执行
$stmt->execute([ => '什么是参数化查询？',
'content' => '参数化查询是防止SQL注入的最佳实践...',
'author' => 'Tech Writer'
]);
echo "新记录插入成功！ID: " . $pdo->lastInsertId();
?>
| 特性 | 描述 |
|---|---|
| 核心思想 | SQL 结构与数据分离。 |
| 主要优势 | 防止 SQL 注入 (Security) 提升性能 (Performance) 增强代码可读性 (Readability) |
| 实现方式 | - 占位符: (通用), @param (C#), param (PHP)- API: cursor.execute(sql, params), PreparedStatement, SqlCommand |
| 最佳实践 | 永远不要使用字符串拼接来构建 SQL 查询，对于任何来自用户输入或不可信来源的数据，必须使用参数化查询。 |
无论你使用哪种编程语言,只要涉及到数据库操作，都应该养成使用参数化查询的习惯，这是编写安全、健壮应用程序的基本要求。
