动态存储过程中like语句

2008-09-22 10:22:08 162 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

PreparedStatement防SQL注入原理、盲区与纵深防御实践 SQL注入是Web应用中最常见且危险的安全漏洞之一，攻击者通过构造恶意输入，篡改原始SQL语句的逻辑，从而窃取、篡改或破坏数据库数据。其核心原理在于混淆了代码与数据的边界。要有效防御，关键在于采用参数化查询技术，将用户输入严格作为数据处理，而非可执行的SQL代码。这项技术的工程价值在于从根源上切断注入途径，是构建安全数据访问层的基石。在实际开发中，广泛应用于用户登录、数据查询、订单处理等涉及数据库交互的场景。本文聚焦于Java生态中广泛使用的PreparedStatement，深入解析其通过预编译机制实现参阅读详情

if exists(select * from sysobjects where name='GetNewsCount' and type='p')
drop proc GetNewsCount
go
CREATE PROCEDURE GetNewsCount
@table varchar(60)
@title varchar(200)
as
declare @sql varchar(60)
set @sql=' select count(*) from '+rtrim(@table)+' where title like '+'%'+@title+'%'
exec (@sql)
GO
就是想把表名弄成动态的但是后面的like语句要出问题
例如 select count(*) from tablename where title like 'content' 就是说 tablename 和title是动态的
该这么些啊指点下

...全文

QCustomPlot实现毫秒级时间轴数据的动态可视化与实时刷新优化本文深入探讨了如何利用QCustomPlot库高效实现毫秒级时间轴数据的动态可视化与实时刷新。文章从基础配置讲起，详细介绍了时间轴初始化、数据平滑滚动、增量更新与内存管理等核心优化技巧，并分享了应对高频数据的缓冲策略及OpenGL硬件加速等高级优化手段，旨在解决实时图表卡顿问题，提升流畅度。阅读详情

swort_177

疑难问题 22,298 成员 121,727 内容

+ 关注 + 加入社区

切换为时间正序

swort_177 2008-09-22

打赏
举报

成功了结贴感谢大家！

lgxyz 2008-09-22

打赏
举报

set @sql=' select count(*) from '+rtrim(@table)+' where title like '+'%'+@title+'%' 

-->

set @sql=' select count(*) from '+rtrim(@table)+' where title like ''%'+@title+'%'''

中国风 2008-09-22

打赏
举报

exec(' select count(*) from ['+@table+'] where title like '+'''%'+@title+'''%' )

字符串的引號要用兩次

swort_177 2008-09-22

打赏
举报

应该为
select count(*) from tablename where title like '%content%' 就是说 tablename 和content是动态的
该这么些啊指点下

水族杰纶 2008-09-22

打赏
举报

SQL code动态sql语句基本语法
1 :普通SQL语句可以用Exec执行

eg: Select * from tableName
Exec('select * from tableName')
Exec sp_executesql N'select * from tableName' -- 请注意字符串前一定要加N

2:字段名，表名，数据库名之类作为变量时，必须用动态SQL

eg:
declare @fname varchar(20)
set @fname = 'FiledName'
Select @fname from tableName -- 错误,不会提示错误，但结果为固定值FiledName,并非所要。
Exec('select ' + @fname + ' from tableName') -- 请注意加号前后的单引号的边上加空格

当然将字符串改成变量的形式也可
declare @fname varchar(20)
set @fname = 'FiledName' --设置字段名

declare @s varchar(1000)
set @s = 'select ' + @fname + ' from tableName'
Exec(@s) -- 成功
exec sp_executesql @s -- 此句会报错

declare @s Nvarchar(1000) -- 注意此处改为nvarchar(1000)
set @s = 'select ' + @fname + ' from tableName'
Exec(@s) -- 成功
exec sp_executesql @s -- 此句正确

3. 输出参数
declare @num int,
@sqls nvarchar(4000)
set @sqls='select count(*) from tableName'
exec(@sqls)
--如何将exec执行结果放入变量中？

declare @num int,
@sqls nvarchar(4000)
set @sqls='select @a=count(*) from tableName '
exec sp_executesql @sqls,N'@a int output',@num output
select @num

chuifengde 2008-09-22

打赏
举报

set @sql=' select count(*) from '+rtrim(@table)+' where title like ''%'+@title+'%'''

动态存储过程中like语句

相关推荐