SQL WHERE IN参数化编译写法简单示例

下面我将为您详细讲解“SQL WHERE IN参数化编译写法简单示例”的完整攻略。

SQL WHERE IN参数化编译写法简介

在 SQL 中，我们常常需要使用到 WHERE IN 语法来查询一段区间内的数据。将参数与 SQL 语句拼接在一起虽然可行，但容易造成 SQL 注入的风险。参数化编译能够避免这一风险，而且能够提高语句的执行效率。

下面具体讲解 SQL WHERE IN参数化编译写法的示例。

示例一：

假设我们有一个 userinfo 表，其中有 id、name、age 三个字段，我们想查询出 age 在 20~30 岁之间的用户列表。

使用参数化编译写法，我们可以这么写：

SELECT * FROM userinfo
WHERE age IN (?,?,?,?)

其中，问号所在的地方表示占位符，我们需要在代码中将其替换成一个列表。比如在 Python 中，可以这么写：

import sqlite3

conn = sqlite3.connect('test.db')
cursor = conn.cursor()

age_list = [20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30]

params = ','.join(['%s'] * len(age_list))
sql = 'SELECT * FROM userinfo WHERE age IN (%s)' % params

# 执行查询
cursor.execute(sql, age_list)
result = cursor.fetchall()

print(result)

这样，我们就可以得到所有 age 在 20~30 岁之间的用户列表。

示例二：

还是以 userinfo 表为例，假设我们想查询出 id 在给定列表中的用户列表。

使用参数化编译写法，我们可以这么写：

SELECT * FROM userinfo
WHERE id IN (?, ?, ?, ?)

同样地，我们可以在代码中将占位符替换为一个列表。比如在 Java 中，可以这么写：

import java.sql.*;

public class Demo {
    public static void main(String[] args) {
        Connection conn = null;
        PreparedStatement pstmt = null;
        ResultSet rs = null;

        String sql = "SELECT * FROM userinfo WHERE id IN (?,?,?,?)";
        try {
            conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "root");
            pstmt = conn.prepareStatement(sql);

            //将占位符替换为一个列表
            pstmt.setInt(1, 1);
            pstmt.setInt(2, 3);
            pstmt.setInt(3, 5);
            pstmt.setInt(4, 7);

            rs = pstmt.executeQuery();

            while (rs.next()) {
                int id = rs.getInt("id");
                String name = rs.getString("name");
                int age = rs.getInt("age");
                System.out.println(id + " " + name + " " + age);
            }
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            //关闭资源
            try {
                if (rs != null) {
                    rs.close();
                }
                if (pstmt != null) {
                    pstmt.close();
                }
                if (conn != null) {
                    conn.close();
                }
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

总结

这样，我们就成功使用参数化编译写法查询了满足条件的数据。使用参数化编译可以避免 SQL 注入风险，同时提高 SQL 效率。