精华内容
下载资源
问答
  • 执行动态sql
    千次阅读
    2019-09-22 17:04:38

    执行动态SQL语句

    首先定义变量 @Games 为运动会名称,
    为动态SQL语句定义变量
    然后建立动态的SQL语句
    最后运行这个动态的SQL语句 EXEC (@SQL2) 或 Exec SP_ExecuteSQL @SQL2

    -- 执行动态SQL语句示例,复制后可直接运行,运行过程中执行SQL3的语句会出错
    DECLARE @Games VARCHAR(20)
    DECLARE @NUM   SMALLINT
    DECLARE @STR   NVARCHAR(4000)
    DECLARE @SQL1  NVARCHAR(4000)    -- 第1种数据类型
    DECLARE @SQL2  NVARCHAR(4000)    -- 第1种数据类型
    DECLARE @SQL3  VARCHAR(4000)     -- 第2种数据类型
    
    SELECT @Games = Games FROM (SELECT '市全运会' Games) A
    
    -- 设置相同的SQL语句
    SET @STR = 'WITH Team (Games,GroupType,SEX,Team) AS ('
    SET @STR = @STR + ' SELECT ''市全运会'',''高中组'',''男'',''100米'' UNION ALL'
    SET @STR = @STR + ' SELECT ''市全运会'',''高中组'',''女'',''100米'' UNION ALL'
    SET @STR = @STR + ' SELECT ''市全运会'',''初中组'',''男'',''100米'' UNION ALL'
    SET @STR = @STR + ' SELECT ''市全运会'',''初中组'',''女'',''100米'' )'
    
    SET @SQL1 = @STR + ' SELECT @A=COUNT(*) FROM Team WHERE SEX = ''女'''
    SET @SQL2 = @STR + ' SELECT Games,GroupType,SEX,Team FROM Team WHERE Games = ''' + @Games + ''''
    SET @SQL3 = @SQL2
    
    EXEC (@SQL2)    -- 执行动态SQL成功
    EXEC (@SQL3)    -- 执行动态SQL成功
    
    Exec SP_ExecuteSQL @SQL2     -- 执行动态SQL成功
    Exec SP_ExecuteSQL @SQL3     -- 执行动态SQL出错 显示错误信息为:需要类型为 'ntext/nchar/nvarchar' 的参数
    
    Exec SP_ExecuteSQL @SQL1,N'@A INT Output',@num Output  -- 成功将动态SQL语句的运行结果保存在变量@NUM中
    SELECT @NUM
    
    更多相关内容
  • 在Oracle中执行动态SQL的几种方法

    千次阅读 2018-02-06 20:28:49
    在Oracle中执行动态SQL的几种方法 在一般的sql操作中,sql语句基本上都是固定的,如: SELECT t.empno,t.ename FROM scott.emp t WHERE t.deptno = 20; 但有的时候,从应用的需要或程序的编写出发,都可能需要...

    Oracle中执行动态SQL的几种方法

    在一般的sql操作中,sql语句基本上都是固定的,如:
    SELECT t.empno,t.ename  FROM scott.emp t WHERE t.deptno = 20;
    但有的时候,从应用的需要或程序的编写出发,都可能需要用到动态SQl,如:
    当 from 后的表 不确定时,或者where 后的条件不确定时,都需要用到动态SQL。

    一、使用动态游标实现

    1、声明动态游标
    TYPE i_cursor_type IS REF CURSOR;
    2、声明游标变量
    my_cursor i_cursor_type;
    3、使用游标
    n_deptno:=20;
    dyn_select := 'select empno,ename from emp where deptno='||n_deptno;
    OPEN my_cursor FOR dyn_select;
    LOOP 
      FETCH my_cursor INTO n_empno,v_ename;
      EXIT WHEN my_cursor%NOTFOUND;
      --用n_empno,v_ename做其它处理
      --....
    END LOOP;
    CLOSE dl_cursor;
    4、小结:动态游标可以胜任大多数动态SQL的需求了,使用简洁方便居家旅行之必备杀人放火之法宝。

    二、使用 EXECUTE IMMEDIATE

    最早大家都使用DBMS_SQL包,但是太太麻烦了,最终都放弃了。但是自从有了EXECUTE IMMEDIATE之后,但要注意以下几点:
    EXECUTE IMMEDIATE代替了以前Oracle8i中DBMS_SQL package包.它解析并马上执行动态的SQL语句或非运行时创建的PL/SQL块.动态创建和执行SQL语句性能超前,EXECUTE IMMEDIATE的目标在于减小企业费用并获得较高的性能,较之以前它相当容易编码.尽管DBMS_SQL仍然可用,但是推荐使用EXECUTE IMMEDIATE,因为它获的收益在包之上。 

     使用技巧

    1. EXECUTE IMMEDIATE将不会提交一个DML事务执行,应该显式提交
     如果通过EXECUTE IMMEDIATE处理DML命令,那么在完成以前需要显式提交或者作为EXECUTE IMMEDIATE自己的一部分. 如果通过EXECUTE IMMEDIATE处理DDL命令,它提交所有以前改变的数据

    2. 不支持返回多行的查询,这种交互将用临时表来存储记录(参照例子如下)或者用REF cursors.

    3. 当执行SQL语句时,不要用分号,当执行PL/SQL块时,在其尾部用分号.

    4. 在Oracle手册中,未详细覆盖这些功能。下面的例子展示了所有用到Execute immediate的可能方面.希望能给你带来方便.

    5. 对于Forms开发者,当在PL/SQL 8.0.6.3.版本中,Forms 6i不能使用此功能.

    EXECUTE IMMEDIATE用法例子

    1. 在PL/SQL运行DDL语句


     begin
      execute immediate 'set role all';
     end;

    2. 给动态语句传值(USING 子句)


     declare
      l_depnam varchar2(20) := 'testing';
      l_loc    varchar2(10) := 'Dubai';
      begin
      execute immediate 'insert into dept values  (:1, :2, :3)'
        using 50, l_depnam, l_loc;
      commit;
     end;

    3. 从动态语句检索值(INTO子句)


     declare
      l_cnt    varchar2(20);
     begin
      execute immediate 'select count(1) from emp'
        into l_cnt;
      dbms_output.put_line(l_cnt);
     end;

    4. 动态调用例程.例程中用到的绑定变量参数必须指定参数类型.黓认为IN类型,其它类型必须显式指定

     declare
      l_routin   varchar2(100) := 'gen2161.get_rowcnt';
      l_tblnam   varchar2(20) := 'emp';
      l_cnt      number;
      l_status   varchar2(200);
     begin
      execute immediate 'begin ' || l_routin || '(:2, :3, :4); end;'
        using in l_tblnam, out l_cnt, in out l_status;

      if l_status != 'OK' then
         dbms_output.put_line('error');
      end if;
     end;

    5. 将返回值传递到PL/SQL记录类型;同样也可用%rowtype变量


     declare
        type empdtlrec is record (empno  number(4),ename  varchar2(20),deptno  number(2));
        empdtl empdtlrec;
     begin
        execute immediate 'select empno, ename, deptno '||'from emp where empno = 7934'
        into empdtl;
     end;

     6. 传递并检索值.INTO子句用在USING子句前

     declare
       l_dept    pls_integer := 20;
       l_nam     varchar2(20);
       l_loc     varchar2(20);
     begin
        execute immediate 'select dname, loc from dept where deptno = :1'
           into l_nam, l_loc
           using l_dept ;
     end;

    7. 多行查询选项

    .对此选项用insert语句填充临时表,用临时表进行进一步的处理,也可以用REF cursors纠正此缺憾.
     
     declare
      l_sal   pls_integer := 2000;
     begin
      execute immediate 'insert into temp(empno, ename) ' ||
                       '          select empno, ename from emp ' ||
                       '          where  sal > :1'
        using l_sal;
      commit;
     end;

           对于处理动态语句,EXECUTE IMMEDIATE比以前可能用到的更容易并且更高效.当意图执行动态语句时,适当地处理异常更加重要.应该关注于捕获所有可能的异常.

    展开全文
  • MyBatis 执行动态 SQL

    万次阅读 2016-08-30 15:20:43
    大家基本上都知道如何使用 MyBatis 执行任意 SQL,使用方法很简单,例如在一个 XXMapper.xml 中:<select id="executeSql" resultType="map"> ${_parameter} 你可以如下调用:sqlSession.selectList("executeSql", ...

    应老婆要求写的这篇博客。

    大家基本上都知道如何使用 MyBatis 执行任意 SQL,使用方法很简单,例如在一个 XXMapper.xml 中:

    <select id="executeSql" resultType="map">
        ${_parameter}
    </select>

    你可以如下调用:

    sqlSession.selectList("executeSql", "select * from sysuser where enabled = 1");

    或者你可以在 XXMapper.java 接口中定义如下方法:

    List<Map> executeSql(String sql);

    然后使用接口调用方法:

    xxMapper.executeSql("select * from sysuser where enabled = 1");

    上面这些内容可能都会,下面在此基础上再复杂一点。

    假如像上面SQL中的enabled = 1我想使用参数方式传值,也就是写成 enabled = #{enabled},如果你没有遇到过类似这种需求,可能不明白为什么要这么写,举个例子,要实现一种动态查询,可以在前台通过配置 SQL,提供一些查询条件就能实现一个查询的功能(为了安全,这些配置肯定是开发或者实施做的,不可能让用户直接操作数据库)。

    针对这个功能,使用 MyBatis 实现起来相当容易。配置 SQL 肯定要执行,用上面讲的这种方式肯定可以执行 SQL,如何提供参数呢?参数就是enabled = #{enabled}中的#{enabled}部分。如果再多一些条件,一个配置好的 SQL 如下:

    select * from sysuser 
    where enabled = #{enabled} 
    and userName like concat('%',#{userName},'%')

    这种情况下,该怎么用 MyBatis 实现呢?
    首先 XML 中修改如下:

    <select id="executeSql" resultType="map">
        ${sql}
    </select>

    接口中的方法修改为:

    List<Map> executeSql(Map map);

    然后调用方法:

    Map map = new HashMap();
    //这里的 sql 对应 XML 中的 ${sql}
    map.put("sql", "select * from sysuser "
            + " where enabled = #{enabled} "
            + " and userName like concat('%',#{userName},'%')");
    //#{enabled}
    map.put("enabled", 1);
    //#{userName}
    map.put("userName", "admin");
    //接口方式调用
    List<Map> list = xxMapper.executeSql(map);
    //sqlSession方式调用
    sqlSession.selectList("executeSql", map);

    有了这个SQL之后,就可以将 enabled 和 userName 作为条件提供给用户。这两个条件显然是必填的。如果是可选的,那该怎么写?

    也许有人想到了是不是可以用 MyBatis 中的动态 SQL,使用<if>标签等等?

    再回答这个问题前,我们先看处理动态 SQL 的 DynamicSqlSource 中的代码:

    @Override 
    public BoundSql getBoundSql(Object parameterObject) {
        DynamicContext context = new DynamicContext(configuration, parameterObject);
        rootSqlNode.apply(context);
        SqlSourceBuilder sqlSourceParser = new SqlSourceBuilder(configuration);
        Class < ?>parameterType = 
                    parameterObject == null ? Object.class: parameterObject.getClass();
        SqlSource sqlSource = sqlSourceParser.parse(context.getSql(), 
                    parameterType, context.getBindings());
        BoundSql boundSql = sqlSource.getBoundSql(parameterObject);
        for (Map.Entry < String, Object > entry: context.getBindings().entrySet()) {
            boundSql.setAdditionalParameter(entry.getKey(), entry.getValue());
        }
        return boundSql;
    }

    MyBatis 处理动态 SQL 时,所有动态 SQL 的标签都会处理为 SqlNode (这里的rootSqlNode)对象,包含${}的也会处理为 TextSqlNode 对象,在上面方法的前两行,就是 MyBatis 处理动态 SQL 的地方。

    因此如果我们在${sql} 中的内容包含嵌套的${}<if>,<where>等标签时,他们在 MyBatis 解析 XML 为 SqlNode 对象时,XML <select> 元素包含的内容只有${sql},只有${sql}会被解析,在运行时这个参数字符串中可能包含的${}<if>,<where>等标签,但是这都发生在 MyBatis 解析后,因此当这些内容作为字符串中的一部分出现时,他们不会被特殊处理,他们只是SQL中的一部分,只是原样输出(由于数据库不认会报错)无法被处理,因此没法通过 MyBatis 自带的这种方式来写动态 SQL。

    提示
    在上面的代码中:

    sqlSourceParser.parse(context.getSql(), parameterType, context.getBindings());

    这一段代码是处理动态参数(#{})的
    这个处理在动态 SQL 处理之后,
    因此可以在 SQL 中使用这种类型的参数。

    既然不能用 MyBatis 动态 SQL 方式,该怎么实现动态 SQL 呢?

    这里提供一个简单的思路,在 SQL 中使用模板标记语言来实现动态SQL(例如freemarker),在 SQL 交给 MyBatis 执行之前,使用模板对 SQL 进行处理生成最终执行的 SQL(需要避免处理#{}参数),将这个SQL交给 MyBatis 执行。

    举一个Freemarker模板的例子,仍然以上面的SQL为基础:

    select * from sysuser 
    where 1 = 1
    <#if enabled??>
    enabled = #{enabled} 
    </#if>
    <#if userName?? && userName != ''>
    and userName like concat('%',#{userName},'%')
    </#if>

    注意,这里的<#if>是Freemarker的元素。在不考虑SQL注入的情况下,上面的SQL还可以写成:

    select * from sysuser 
    where 1 = 1
    <#if enabled??>
    enabled = #{enabled} 
    </#if>
    <#if userName?? && userName != ''>
    and userName like '%${userName}%'
    </#if>

    区别就是'%${userName}%',因为 Freemarker 也会处理 ${userName},也会用实际的值来替换这里的参数。

    在前面调用的代码中,这里修改如下:

    //#{enabled}
    map.put("enabled", 1);
    //#{userName}
    map.put("userName", "admin");
    //这里的 sql 对应 XML 中的 ${sql}
    String sql = "上面两个复杂SQL中的一个";
    //使用Freemarker处理sql
    sql = processSqlByFreemarker(sql, map);
    //将处理后的sql放到map中
    map.put("sql", sql);
    //执行方法
    List<Map> list = xxMapper.executeSql(map);

    注:processSqlByFreemarker方法就是根据map中的数据来处理sql字符串,实现方式可以自己搜索。

    到这里,一个不是很复杂的动态SQL功能就实现了。


    不知道有没有更贪心的人,你会不会想,上面返回值都是List<Map>类型,能不能返回一个我指定的实体类呢?

    例如在map中:

    map.put("class", "tk.mybatis.model.SysUser");

    能不能通过这种方式让返回值变成SysUser类型呢?由于这篇文章耗时已经太长,这里就提供一个方案,不深入。

    你可以使用拦截器实现,获取 MappedStatement 后,复制一份,然后修改 resultMapsresultMaptype属性为你指定的class类型就能实现,说起来容易,实际操作起来能有 PageHelper 分页插件 1/10 左右的工作量。

    因为这篇是应媳妇要求所写,所以假如媳妇有最后的这个需求,我就协助媳妇实现这个插件,然后再共享出来(这个插件已经实现,参考 MyBatis 返回动态结果类型插件 )。

    注:如果是动态的update,insert,delete 语句,可以将上面的<select>改为<update>(不需要使用<delete><insert>),返回值用int,比 select 的情况容易很多。

    展开全文
  • 存储过程中执行动态Sql语句

    万次阅读 2018-08-26 18:50:28
     MSSQL为我们提供了两种动态执行SQL语句的命令,分别是EXEC和sp_executesql;通常,sp_executesql则更具有优势,它提供了输入输出接口,而EXEC没有。还有一个最大的好处就是利用sp_executesql,能够重用执行计划,这...

    存储过程中执行动态Sql语句

      MSSQL为我们提供了两种动态执行SQL语句的命令,分别是EXEC和sp_executesql;通常,sp_executesql则更具有优势,它提供了输入输出接口,而EXEC没有。还有一个最大的好处就是利用sp_executesql,能够重用执行计划,这就大大提供了执行性能,还可以编写更安全的代码。EXEC在某些情况下会更灵活。除非您有令人信服的理由使用EXEC,否侧尽量使用sp_executesql.

    1.EXEC的使用

         EXEC命令有两种用法,一种是执行一个存储过程,另一种是执行一个动态的批处理。以下所讲的都是第二种用法。

      下面先使用EXEC演示一个例子,代码1

     

    按 Ctrl+C 复制代码

     

    按 Ctrl+C 复制代码

     

    注:这里的EXEC括号中只允许包含一个字符串变量,但是可以串联多个变量,如果我们这样写EXEC:

      

    EXEC('SELECT TOP('+ CAST(@TopCount AS VARCHAR(10)) +')* FROM '+

               QUOTENAME(@TableName) +' ORDER BY ORDERID DESC');

     

          SQL编译器就会报错,编译不通过,而如果我们这样:

      

    EXEC(@sql+@sql2+@sql3);

     

    编译器就会通过;
     
          所以最佳的做法是把代码构造到一个变量中,然后再把该变量作为EXEC命令的输入参数,这样就不会受限制了。
     
          EXEC的缺点是不提供接口,这里的接口是指,它不能执行一个包含一个带变量符的批处理,如下

    复制代码

    复制代码

    代码

    DECLARE @TableName VARCHAR(50),@Sql NVARCHAR(MAX),@OrderID INT;
    SET @TableName = 'Orders';
    SET @OrderID = 10251;
    SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) +

         'WHERE OrderID = @OrderID ORDER BY ORDERID DESC'
    EXEC(@sql);

    复制代码

    复制代码


          关键就在SET @sql这一句话中,如果我们运行这个批处理,编译器就会产生一下错误

      Msg 137, Level 15, State 2, Line 1 
      必须声明标量变量 "@OrderID"。

          使用EXEC时,如果您想访问变量,必须把变量内容串联到动态构建的代码字符串中,如:

    SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) +

       'WHERE OrderID = '+CAST(@OrderID AS VARCHAR(10))+' ORDER BY ORDERID DESC'

     

          串联变量的内容也存在性能方面的弊端。SQL Server为每一个的查询字符串创建新的执行计划,即使查询模式相同也是这样。为演示这一点,先清空缓存中的执行计划

      DBCC FREEPROCCACHE (这个不是本文所涉及的内容,您可以查看MS的MSDN)

          将代码1运行3次,分别对@OrderID 赋予下面3个值,10251,10252,10253。然后使用下面的代码查询

     

      SELECT cacheobjtype,objtype,usecounts,sql FROM sys.syscacheobjects WHERE sql NOT LIKE '%cach%' AND sql NOT LIKE '%sys.%' 

     

          点击F5运行,我们可以看到,每执行一次都要产生一次的编译,执行计划没有得到充分重用。


          EXEC除了不支持动态批处理中的输入参数外,他也不支持输出参数。默认情况下,EXEC把查询的输出返回给调用者。例如下面代码返回Orders表中所有的记录数

     

    复制代码

     DECLARE @sql NVARCHAR(MAX)
     SET @sql = 'SELECT COUNT(ORDERID) FROM Orders';
     EXEC(@sql);

    复制代码


        然而,如果你要把输出返回给调用批处理中的变量,事情就没有那么简单了。为此,你必须使用INSERT EXEC语法把输出插入到一个目标表中,然后从这表中获取值后赋给该变量,就像这样:

    复制代码

    复制代码

    代码

     DECLARE @sql NVARCHAR(MAX),@RecordCount INT
     SET @sql = 'SELECT COUNT(ORDERID) FROM Orders';
     CREATE TABLE #T(TID INT);
     INSERT INTO #T EXEC(@sql);
     SET @RecordCount = (SELECT TID FROM #T)
     SELECT @RecordCount
     DROP TABLE #T2

    复制代码

    复制代码

     

    2.sp_executesql的使用

    sp_executesql命令在SQL Server中引入的比EXEC命令晚一些,它主要为重用执行计划提供更好的支持。

    为了和EXEC作一个鲜明的对比,我们看看如果用代码1的代码,把EXEC换成sp_executesql,看看是否得到我们所期望的结果

     

    复制代码

    复制代码

    代码

     DECLARE @TableName VARCHAR(50),@sql NVARCHAR(MAX),@OrderID INT ,@sql2 NVARCHAR(MAX);
     SET @TableName = 'Orders ';
     SET @OrderID = 10251;
     SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) + ' WHERE OrderID = '+CAST(@OrderID AS VARCHAR(50)) + ' ORDER BY ORDERID DESC'
     EXEC sp_executesql @sql

    复制代码

    复制代码

     

     

        注意最后一行;事实证明可以运行;

    sp_executesql提供接口

        sp_executesql命令比EXEC命令更灵活,因为它提供一个接口,该接口及支持输入参数也支持输出参数。这功能使你可以创建带参数的查询字符串,这样就可以比EXEC更好的重用执行计划,sp_executesql的构成与存储过程非常相似,不同之处在于你是动态构建代码。它的构成包括:代码快,参数声明部分,参数赋值部分。说了这么多,还是看看它的语法:

     

    复制代码

    复制代码

      EXEC sp_executesql
    
       @stmt= <statement>,--类似存储过程主体
    
       @params = <params>, --类似存储过程参数部分,声明参数类型
    
       <params assignment> --类似存储过程调用,为参数赋值,参数值要和参数顺序要一一对应,也可以通过为参数指明参数值的方式为其赋值

    复制代码

    复制代码


     @stmt参数是输入的动态批处理,它可以引入输入参数或输出参数,和存储过程的主体语句一样,只不过它是动态的,而存储过程是静态的,不过你也可以在存储过程中使用sp_executesql;

     @params参数与定义输入/输出参数的存储过程头类似,实际上和存储过程头的语法完全一样;

     @<params assignment> 与调用存储过程的EXEC部分类似。

         其实@stmt,@params可以省略,那么exec sp_executesql的语法就可以简写成如下格式:

    复制代码

    复制代码

      EXEC sp_executesql
       <statement>,
       <params>,
       <params assignment>

    复制代码

    复制代码

     

         为了说明sp_executesql对执行计划的管理优于EXEC,我将使用前面讨论EXEC时用到的代码。

     

    复制代码

    复制代码

    代码

             DECLARE @TableName VARCHAR(50),@sql NVARCHAR(MAX),@OrderID INT;   
          SET @TableName = 'Orders ';
          SET @OrderID = 10251;   
          SET @sql = 'SELECT * FROM '+@TableName + ' WHERE OrderID = @OID ORDER BY ORDERID DESC'  
          --注意当要对动态sql语句的表名实行参数化时,不可以如下表示:
          --set @sql='select * from @TableName where OrderID=@OID ORDER BY Orderid desc',
         --如果这样会提示必须声明标量变量@TableName,只可以如上面所写的一样,将表名@TableName作为变量名进行拼接
    
          EXEC sp_executesql   
                  @sql,   
                 N'@OID int ',   
                @OID = @OrderID

    复制代码

    复制代码

     

         下面我们看看exec sp_executesql的执行效率,在调用该代码和检查它生成的执行计划前,先清空缓存中的执行计划;

      DBCC FREEPROCCACHE

         将上面的动态代码执行3次,每次执行都赋予@OrderID 不同的值,然后查询sys.syscacheobjects表,并注意它的输出,优化器只创建了一个备用计划,而且该计划被重用的3次

     

    SELECT cacheobjtype,objtype,usecounts,sql FROM sys.syscacheobjects

      WHERE sql NOT LIKE '%cache%' AND sql NOT LIKE '%sys.%' AND sql NOT LIKE '%sp_executesql%'


         点击F5运行。

         sq_executesql的另一个与其接口有关的强大功能是,你可以使用输出参数为调用批处理中的变量返回值。利用该功能可以避免用临时表返回数据,从而得到更高效的代码和更少的重新编译。定义和使用输出参数的语法与存储过程类似。也就是说,你需要在声明参数时指定OUTPUT子句。例如,下面的静态代码简单的演示了如何从动态批处理中利用输出参数@p把值返回到外部批处理中的变量@i.

     

    复制代码

    复制代码

      DECLARE @sql AS NVARCHAR(12),@i AS INT;
      SET @sql = N' SET @p = 10';
      EXEC sp_executesql
             @sql, 
            N'@p AS INT OUTPUT',
            @p = @i OUTPUT
       SELECT @i  --该代码返回输出10 

    复制代码

    复制代码

     

      以字母 N 为前缀标识 Unicode 字符串常量

          总结以下几点:
      一.使用exce sp_executesql效率比exec要高,同一类型的语句,只需编译一次即可,而exec执行几次就需要编译几次。
      二.构造动态sql的where子句,也就是条件子句时,exec无法使用变量来进行站位,需要将变量转换成字符串,然后和动态sql进行拼接,这就可能引起Sql注入问题,如下:
        

    SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) +

       ' WHERE OrderID = '+CAST(@OrderID AS VARCHAR(50)) + ' ORDER BY ORDERID DESC'

     

            而若使用exec sp_executesql则可以使用变量来进行站位,以后再给这个参数传值的放式构造动态sql,就避免的Sql注入的问题,如下:

        SET @sql = 'SELECT * FROM '+@TableName + ' WHERE OrderID = @OID ORDER BY ORDERID DESC'  


      三.无论是Exec还是Exec sp_executesql,如果想要将表名和列名进行动态参数化,不可以使用表名参数和列名参数来进行站位,而且表名参数和列名参数需要使用存储过程的参数.对     于exec sp_executesql来说,不可以将表名参数和列名参数在指定为在exec sp_executesql参数声明部分声明的参数,如:

    复制代码

    复制代码

    代码

       create PROCEDURE GetData
        @tbName nvarchar(10),
        @colName nvarchar(10),
        @Name nvarchar(10)
       AS
        BEGIN
        declare @sql nvarchar(50);
        set @sql='select '+ @colName+'  from ' +@tbName+ ' where name=@whereName';
        --注意此句不可以写成如下:
        -- set @sql='select @colName from @tbName where name=@whereName';
        exec sp_executesql 
         @sql,
         N'@whereName nvarchar(10)',
         @Name
        END

    复制代码

    复制代码

    展开全文
  • PB中执行动态SQL语句(温故知新)

    千次阅读 2018-05-19 10:20:47
    转自:http://blog.sina.com.cn/s/blog_538f907c0100fak4.htmlPowerBuilder的嵌入式SQL语句只能支持一些固定的标准的SQL语句,即在进行程序代码编译处理时这些SQL语句必须是确定的,另外这种方式也不能执行像Creat ...
  • SQL Server存储过程中执行动态SQL语句

    千次阅读 2015-07-31 16:20:48
    一、简介 在Sql Server中执行动态sql语句有两种方法:exec和exec sp_executesql。 优缺点: 1、exec sp_executesql提供输入、输出接口,可以在sql语句中进行参数占位;exec则不可以。 2、exec sp_executesql能够...
  • 在pl/sql执行动态sql

    千次阅读 2014-12-18 09:08:00
    动态sql就是把sql写在一个字符串里,在存储过程中解析字符串执行sql。这种动态sql很多时候会在别的语言里写,再连接数据库进行操作,这样的确方便很多,例如在java中使用JDBC。但是如果涉及到sql变化很多次,直接在...
  • PostgreSQL 执行动态sql

    万次阅读 2018-09-14 16:18:39
    drop function if exists exe_dynamic_sql(bigint); drop function if exists exe_dynamic_count(bigint); --返回记录集 create or replace function exe_dynamic_sql(ival bigint) returns...
  • 1 :普通SQL语句可以用exec执行 Select * from tableName exec('select * from tableName') exec sp_executesql N'select * from tableName' -- 请注意字符串前一定要加N 2:字段名,表名,数据库名之类作为变量时...
  • PostgreSQL执行动态SQL返回多个结果集

    千次阅读 2020-11-12 10:52:55
    PostgreSQL执行动态SQL返回多个结果集PostgreSQL执行动态SQL返回多个结果集创建存储 PostgreSQL执行动态SQL返回多个结果集 废话少说直接上代码 创建存储 CREATE OR REPLACE FUNCTION test(ref1 refcursor, ref2 ref...
  • MySQL 存储过程执行动态拼接SQL

    千次阅读 2019-08-17 23:51:12
    # 是否提交执行 SET v_to_commit = v_i % v_commit = 0 OR v_i = v_limit; IF v_to_commit = 0 THEN SET @sql = concat(@sql, ','); END IF; IF v_to_commit = 1 THEN SET @sql = concat(@sql, ';'); ...
  • Postgresql实现动态SQL语句

    千次阅读 2021-02-09 17:14:31
    本文介绍Postgresql如何实现动态SQL语句。 1. 动态SQL 动态SQL在程序启动时会根据输入参数替换相应变量。使用动态SQL可以创建更强大和灵活的应用程序,但在编译时SQL语句的全文不确定,因此运行时编译会牺牲一些性能...
  • 因为项目中需要做一些操作,比如动态在数据库中创建表,动态给数据库添加字段等等;当时网上找了很多资料没看懂,后来看了一篇文章总算来了灵感,但没保存链接,所以一时没法贴出来。毕竟自己在做的过程中遇到了很多...
  • mybatis之动态sql(超详细)

    千次阅读 2021-12-14 12:04:00
    由于不确定查询参数是否存在,许多人会使用类似于where 1 = 1来作为前缀,然后后面用AND拼接要查询的参数,这样,就算要查询的参数为空,也能够正确执行查询,如果不加1 = 1,则如果查询参数为空,SQL语句就会变成...
  • oracle 执行动态sql,using动态参数

    千次阅读 2017-12-07 16:45:28
    动态sql,当变量个数不确定时。如果直接open vCursor for piSQL using 变量1,变量2 ,真是一个体力活。 发现居然可用 DBMS_SQL.TO_REFCURSOR()转换为 可返回的cursor; create or replace procedure test_...
  • 执行sql的时候非常慢,但是我把sql拿到数据库工具中去执行秒出? 1.我在网上也查了一下有说是写动态sql因为时间格式的原因 2.还有说是><小写转译的原因 但是以上问题我的都不是! 我最后在我的mapper中把#{}...
  • Postgresql 函数中如何动态执行sql语句

    万次阅读 2019-08-20 09:30:16
    实现功能,根据传入id删除多张表的数据: CREATE or replace FUNCTION fn_delete ( p_deleteid INT ) RETURNS VARCHAR LANGUAGE 'plpgsql' AS $$ DECLARE sql1 VARCHAR ( 100 ); sql2 VARCHAR ( 100 );...sql4...
  • Java下拼接执行动态SQL语句

    千次阅读 2015-06-12 09:38:30
    在实际业务中经常需要拼接动态SQL来完成复杂数据计算,网上各类技术论坛都有讨论,比如下面这些问题:  http://bbs.csdn.net/topics/390876591  http://bbs.csdn.net/topics/390981627  ...
  • 由于在触发器中要根据inserted(deleted)表的数据,对另一个表进行更新操作,而这个表的某些字段是不固定的,所以需要写成动态sql,利用exec来执行。这时麻烦来了,exec执行时,无法访问到inserted(deleted)表。坏了...
  • /* 将其他几张表数据复制到一张总表中 */ DROP PROCEDURE IF EXISTS sp_customer;...-- 需要执行SQL语句 DECLARE v_sql_1 VARCHAR(500); DECLARE v_sql_2 VARCHAR(500); DECLARE v_sql_3 VARCH...
  • ORACLE动态SQL语句

    万次阅读 多人点赞 2017-11-03 12:06:32
    SQL动态语句是由程序或者存储过程生成的SQL语句,这种语句的特点是,不能简单的去运行。因为它不是标准的,其中含有变化的成分,因此ORACLE提供了一个执行动态SQL语句的模式: EXECUTE IMMEDIATE 这句话的含义是...
  • 提交的查询条件不同,执行SQL 语句就会不同。若将每种可能的情况均逐一列出,对所有条件进行排列组合,将会出现大量的 SQL 语句。此时,可使用动态 SQL 来解决这样的问题 动态sql的实现,使用的是mybatis提供的...
  • Oracle 存储过程 动态sql执行

    千次阅读 2014-04-16 16:08:40
     oracle中DBMS_SQL package包和EXECUTE IMMEDIATE都可以用来解析并执行动态SQL语句或非运行时创建的PL/SQL块,相比较而言,EXECUTE IMMEDIATE使用较简单,能够满足较常用的需要。   1.1 语法    EXECUTE ...
  • PL/SQL:open for [using] 语句 2017年07月19日 09:52:55 学孩儿无牙哭做粥 阅读数:681 标签: oracleSQLPLSQL 更多 个人分类: ORACLESQL/PLSQL 版权声明:本文为博主原创文章,未经博主允许不得转载。 ...
  • mysql function动态执行不同sql语句

    千次阅读 2017-03-31 15:19:00
    create procedure cps() begin declare table_user varchar(200) default 'user'; set strSql = concat('select * from ',table_user); prepare a from strSql; execute a;...如何使用sql执行字符串...
  • oracle for循环执行sql

    万次阅读 2019-08-28 11:48:45
    declare num number := 1;... sql_tem Varchar2(100); begin while num <= 10 loop for v_rlt in ( SELECT b. SID, b.serial# FROM v$process A, v$session b, v$sqlarea c WHERE A .addr = b.paddr A...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 1,910,995
精华内容 764,398
关键字:

执行动态sql