3

我正在尝试编写简单的过滤，用户可以在其中输入要过滤的列和值。棘手的部分是动态选择要过滤的列。

我在网上找到了几个解决方案，但不确定要实施哪个。我的偏好是倾向于性能而不是可维护性。任何意见将不胜感激。

假设我有一个表“t”，它有 5 个 VARCHAR 列：“c1”、“c2”、“c3”、“c4”和“c5”。

解决方案 1 - 简单的方法

我可以使用动态 SQL。类似的东西：

DECLARE @sql VARCHAR(MAX) = 'SELECT * FROM t WHERE ' + @columnName + ' = ''' + @columnValue + ''';'
EXEC (@sql);

结果会是这样的：

SELECT *
FROM t
WHERE c1 = 'asdf'
;

由于以下两个原因，我不想使用此解决方案。在进入兔子洞之前，我主要将其作为一个简单的参考点。

  1. 它不防范 SQL 注入。
  2. 即使我要参数化 columnValue，我也会为 5 列中的每一列缓存 5 个不同的执行计划，因为您无法参数化 @columnName。

解决方案 2 - OR's

可以使用一系列只有两个参数的 OR。所以让我们说：

@columnName = 'c1'
@columnValue = 'asdf'

然后 SQL 将变为：

SELECT *
FROM t
WHERE (@columnName = 'c1' AND c1 = @columnValue)
  OR (@columnName = 'c2' AND c2 = @columnValue)
  OR (@columnName = 'c3' AND c3 = @columnValue)
  OR (@columnName = 'c4' AND c4 = @columnValue)
  OR (@columnName = 'c5' AND c5 = @columnValue)
  OR (@columnName IS NULL AND 0 = 0)
;

我通常尽量避免使用 OR。我记得在某处读到它遇到性能问题，但我不是 DBA，无法支持它。想法？

解决方案 3 - COALESCE

该解决方案依赖于每列都有一个参数。因此，参数将类似于以下内容：

@c1 = 'asdf';
@c2 = NULL;
@c3 = NULL;
@c4 = NULL;
@c5 = NULL;

SQL出来：

SELECT *
FROM t
WHERE c1 = COALESCE(@c1, c1)
  AND c2 = COALESCE(@c2, c2)
  AND c3 = COALESCE(@c3, c3)
  AND c4 = COALESCE(@c4, c4)
  AND c5 = COALESCE(@c5, c5)
;

有人对实施什么方法有意见吗？我倾向于 COALESCE，但在这件事上我没有确切的数字或经验。也许有更好的做事方式？

4

1 回答 1

10

最安全的方法：

DECLARE @sql NVARCHAR(MAX) = N'SELECT * FROM dbo.t WHERE ' 
 + QUOTENAME(@columnName) + ' = @ColumnValue;';

EXEC sp_executesql @sql, N'@ColumnValue VARCHAR(255)', @ColumnValue;

为了进一步防止 SQL 注入，您可以首先检查：

IF @columnName NOT IN (N'c1',N'c2',N'c3',N'c4',N'c5')
BEGIN
  RAISERROR('Nice try! %s is not valid.', 11, 1, @columnName);
  RETURN;
END

或者正如@HABO 所建议的，针对sys.columns目录视图：

IF NOT EXISTS 
(
   SELECT 1 FROM sys.columns WHERE name = @ColumnName
     AND [object_id] = OBJECT_ID('dbo.t')
)
BEGIN
  RAISERROR('Nice try! %s is not valid.', 11, 1, @columnName);
  RETURN;
END

特别是与 结合使用时Optimize for ad hoc workloads，可能有 5 个不同的执行计划是可以的 - 因为毕竟它们是 5 个不同的查询，可以根据不同列上的索引、这些列中的数据分布等进行不同的优化。

您的OR版本COALESCE- 除非您每次都支付编译命中 -无论提供哪一列，都将使用相同的计划，因此它可能在某些情况下效果很好，但在其他情况下效果不佳。每个人得到的计划不会基于什么是最好的，而是首先发送哪个参数。

此外，如果您担心性能，也许不要使用SELECT *- 特别是如果您不需要所有列。即使您这样做了，您也永远不知道何时有人将 blob 或几何图形或 XML 或其他昂贵的列添加到表中，并且您的代码会检索它，即使它并不关心它。

于 2013-08-23T21:37:55.517 回答