SQL参数化查询为什么能够防止SQL注入
很多人都知道SQL注入，也知道SQL参数化查询可以防止SQL注入，可为什么能防止注入却并不是很多人都知道的。 本文主要讲述的是这个问题，也许你在部分文章中看到过这块内容，当然了看看也无妨。 首先：我们要了解SQL收到一个指令后所做的事情： 具体细节可以查看文章：Sql Server 编译、重编译与执行计划重用原理 在这里，我简单的表示为： 收到指令 -> 编译SQL生成执行计划 ->选择执行计划 ->执行执行计划。 具体可能有点不一样，但大致的步骤如上所示。 接着我们来分析为什么拼接SQL 字符...
Sql Server参数化查询之where、in、like实现详解
身为一名小小的程序猿，在日常开发中不可以避免的要和where in和like打交道，在大多数情况下我们传的参数不多简单做下单引号、敏感字符转义之后就直接拼进了SQL，执行查询，搞定。若有一天你不可避免的需要 提高SQL的查询性能，需要一次性where in 几百、上千、甚至上万条数据时，参数化查询将是必然进行的选择。然而如何实现where in和like的参数化查询，是个让不少人头疼的问题。 where in 的参数化查询实现 首先说一下我们常用的办法，直接拼SQL实现，一般情况下都能满足需要 string userIds = "1,2,3,4"; u...
Sql Server编译原理
当 Sql Server 收到任何一个指令，包括：查询、批处理、存储过程、触发器、预编译指令和动态SQL Server语句，要完成语法解析、语义分析，然后再进行"编译"，生成能够运行的"执行计划"。在编译的过程中，SQL Server 会根据所涉及的对象的架构、统计信息，以及指令的具体内容，估算可能的执行计划，以及它们的成本，最后选择一个SQL Server认为成本最低的语句。 执行计划生成之后，SQL Server 通常会把它们缓存到内存里，术语统称它们叫“Plane Cache”。以后同样的语句执行，SQL Server就可以使用同样的执行计划，而...