Выполнение встроенных процедур MS SQL Server

[Пантер]

Извините, не удержался))
"Не используй строки Люк, используй типы - это путь силы." (с) Мастер Йода.
А вообще мне лично так нравится больше:

Код:

    for (int i = 0; i < queryParameters.size(); i++)
        lQueryText.replace(queryParameters.keys().at(i), queryParameters.value(queryParameters.keys().at(i)));

где
lQueryText - QString
queryParameters - QHash<QString, QString>
И душевно работает без QSqlQuery::prepare
И строки использовать намного удобнее, чем over9000 типов, все становится единообразно. Хотя, если оплата за количество строк кода, то смысл есть))

Это небезопасно и может привести к sql инъекции. Плюс, при использовании биндов не надо ничего экранировать.

[titan83]

Извините, не удержался))
"Не используй строки Люк, используй типы - это путь силы." (с) Мастер Йода.
А вообще мне лично так нравится больше:

Код:

    for (int i = 0; i < queryParameters.size(); i++)
        lQueryText.replace(queryParameters.keys().at(i), queryParameters.value(queryParameters.keys().at(i)));

где
lQueryText - QString
queryParameters - QHash<QString, QString>
И душевно работает без QSqlQuery::prepare
И строки использовать намного удобнее, чем over9000 типов, все становится единообразно. Хотя, если оплата за количество строк кода, то смысл есть))

Это небезопасно и может привести к sql инъекции. Плюс, при использовании биндов не надо ничего экранировать.

Каким образом bind защищает от инъекции? Удаляет sql запросы, соответствующие диалекту используемой БД?
Про экранирование - спасибо, это существенная информация.

[Пантер]

Код:

query.exec(QString ("SELECT * FROM table_name WHERE id=%1").arg(idString));

Если в idString передать: "0; DROP TABLE table_name", то удалится таблица. Бинд это разрулит, ибо такая строка точно не закастится в тип id. Бинд работает на низком уровне, он не преобразуется в строку внутри Кьюта, а передается драйверу БД.

[titan83]

Код:

query.exec(QString ("SELECT * FROM table_name WHERE id=%1").arg(idString));

Если в idString передать: "0; DROP TABLE table_name", то удалится таблица. Бинд это разрулит, ибо такая строка точно не закастится в тип id. Бинд работает на низком уровне, он не преобразуется в строку внутри Кьюта, а передается драйверу БД.

Благодарю.

[twp]

Извините, не удержался))
"Не используй строки Люк, используй типы - это путь силы." (с) Мастер Йода.
А вообще мне лично так нравится больше:

Код:

    for (int i = 0; i < queryParameters.size(); i++)
        lQueryText.replace(queryParameters.keys().at(i), queryParameters.value(queryParameters.keys().at(i)));

где
lQueryText - QString
queryParameters - QHash<QString, QString>
И душевно работает без QSqlQuery::prepare
И строки использовать намного удобнее, чем over9000 типов, все становится единообразно. Хотя, если оплата за количество строк кода, то смысл есть))

Это небезопасно и может привести к sql инъекции. Плюс, при использовании биндов не надо ничего экранировать.

Есть еще вот что. СУБД кэширует и оптимизирует (прекомпилирует) все выполняемые запросы. Соответственно, когда в базу передается на выполнение один и тот же запрос, но с разными параметрами (указанными непосредственно в запросе), то база каждый раз будет интерпретировать такой запрос как новый, со своими издержками. Это не есть хорошо, особенно если в это время к базе поступают много запросов одновременно. Поэтому правильно передавать именно шаблон запроса через QSqlQuery::prepare. QSqlQuery::prepare как раз дает команду СУБД извлечь из кэша существующий или создать и оптимизировать новый запрос. Ну и уже потом в запрос передаются параметры через QSqlQuery::bindValue. Т.е. по сути такие запросы очень близки к хранимым процедурам.