¿Qué representa un signo de interrogación en las consultas SQL?

Question

Mientras reviso algunos libros SQL encontré que los ejemplos tienden a usar signos de interrogación (?) en sus consultas. ¿Que representa?

Answer 1

El ? es un parámetro sin nombre que puede ser completado por un programa que ejecuta la consulta para evitar SQL injection.

Answer 2

Normalmente representa un parámetro que debe suministrar el cliente.

Answer 3

Es un parámetro. Puede especificarlo al ejecutar la consulta.

Answer 4

No creo que tenga ningún significado en SQL. Es posible que esté buscando Declaraciones preparadas en JDBC o algo así. En ese caso, los signos de interrogación son marcadores de posición para los parámetros de la declaración.

Answer 5

El ? es para permitir Parameterized Query. Esta consulta parametrizada permite el valor específico del tipo cuando se reemplaza el ? con su valor respectivo.

Eso es todo.

Aquí hay un reason de por qué es mejor utilizar la consulta parametrizada. Básicamente, es más fácil de leer y depurar.

Answer 6

Lo que está viendo es una consulta parametrizada . Se usan con frecuencia al ejecutar SQL dinámico desde un programa.

Por ejemplo, en lugar de escribir esto (nota: pseudocódigo):

ODBCCommand cmd = new ODBCCommand("SELECT thingA FROM tableA WHERE thingB = 7") 
result = cmd.Execute() 

escribirte esta:

ODBCCommand cmd = new ODBCCommand("SELECT thingA FROM tableA WHERE thingB = ?") 
cmd.Parameters.Add(7) 
result = cmd.Execute() 

Esto tiene muchas ventajas, como es obvio, probablemente. Una de las más importantes: las funciones de la biblioteca que analizan sus parámetros son inteligentes y garantizan que las cadenas se escapen correctamente. Por ejemplo, si escribe esto:

string s = getStudentName() 
cmd.CommandText = "SELECT * FROM students WHERE (name = '" + s + "')" 
cmd.Execute() 

¿Qué sucede cuando el usuario ingresa esto?

Robert'); DROP TABLE students; -- 

(respuesta es here)

escribir este lugar:

s = getStudentName() 
cmd.CommandText = "SELECT * FROM students WHERE name = ?" 
cmd.Parameters.Add(s) 
cmd.Execute() 

A continuación, la biblioteca se desinfectar la entrada, produciendo esto:

"SELECT * FROM students where name = 'Robert''); DROP TABLE students; --'" 

No todos los DBMS use ?. MS SQL utiliza el nombre parámetros, que considero una mejora enorme :

cmd.Text = "SELECT thingA FROM tableA WHERE thingB = @varname" 
cmd.Parameters.AddWithValue("@varname", 7) 
result = cmd.Execute()