SQL Server里简单参数化的痛苦

简介:

一般来说,如果你处理所谓的安全执行计划(Safe Execution Plan),SQL Server自动参数化你的SQL语句:不管提供的参数值,查询总必须通向一样的执行计划。如果你的执行计划里有书签查找,这就是不可能的例子。因为临界点定义了是否进行书签查找还是全表/聚集索引扫描。

自动参数化并不那么酷!

如果SQL Server能自动参数化你的SQL语句,你还是要考虑下SQL Server引入的自动参数化SQL语句的一些副作用。我们来看一个具体的例子。下列查询创建一个表,执行一个会被SQL Server自动参数化的简单SQL语句。

复制代码
 1 -- Create a simple table
 2 CREATE TABLE Orders
 3 (
 4     Col1 INT IDENTITY(1, 1) PRIMARY KEY NOT NULL,
 5     Price DECIMAL(18, 2)
 6 )
 7 GO
 8 
 9 -- This query gets auto parametrized, because it is a simple query with a safe (consistent) plan
10 SELECT * FROM Orders
11 WHERE Price = 5.70
12 GO
13 
14 -- Analyze the Plan Cache
15 SELECT
16     st.text, 
17     qs.execution_count, 
18     cp.cacheobjtype,
19     cp.objtype,
20     cp.*,
21     qs.*, 
22     p.* 
23 FROM sys.dm_exec_cached_plans cp
24 CROSS APPLY sys.dm_exec_query_plan(cp.plan_handle) p
25 CROSS APPLY sys.dm_exec_sql_text(cp.plan_handle) st
26 LEFT JOIN sys.dm_exec_query_stats qs ON qs.plan_handle = cp.plan_handle
27 WHERE st.text LIKE '%Orders%'
28 GO
复制代码

然后当你查看计划缓存时,你会看到SQL Server能为你自动参数化SQL语句:

(@1 numeric(3,2))SELECT * FROM [Orders] WHERE [Price]=@1

但什么是选择的作为参数的数据类型?最小可能的那个!在这里是NUMERIC(3,2)!如果现在你执行下列2个查询:

复制代码
1 -- Execute a slightly different query
2 SELECT * FROM Orders
3 WHERE Price = 8.70
4 GO
5 
6 -- Execute a slightly different query
7 SELECT * FROM Orders
8 WHERE Price = 124.50
9 GO
复制代码

SQL Server能重用为第1个使用8.7值SQL语句的参数化SQL语句的执行计划。但用124.50值的第2个SQL语句呢?对于这个SQL语句缓存的计划不能被重用,因为124.50值不符合NUMERIC(3,2)。在这个情况下,SQL Server用NUMERIC(5,2)数据类型生成你SQL语句的新参数化版本。你刚用你的SQL语句的额外的参数化版本污染了你的计划缓存!当你执行下列语句会变得更糟:

-- Execute a slightly different query
SELECT * FROM Orders
WHERE Price = 1204.50
GO

这个会再次给你新的用NUMERIC(6,2)数据类型的新参数化版本——计划缓存里另一个版本!当我展示这个行为的时候,很多人都建议我应该用逆序来执行刚才的SQL语句。我们通过首先清空计划缓存来试下。

复制代码
 1 -- Clear the Plan Cache
 2 DBCC FREEPROCCACHE
 3 GO
 4 
 5 -- Execute a slightly different query
 6 SELECT * FROM Orders
 7 WHERE Price = 1204.50
 8 GO
 9 
10 -- Execute a slightly different query
11 SELECT * FROM Orders
12 WHERE Price = 124.50
13 GO
14 
15 -- Execute a slightly different query
16 SELECT * FROM Orders
17 WHERE Price = 8.70
18 GO
复制代码

然后当你看计划缓存时,没有任何改变:SQL Server还生成了3个不同的参数化SQL语句——每次都用最小可能的数据类型。

你怎么做没有一点关系,即你执行你SQL语句的顺序:在自动参数化期间,SQL Server总会选择最小可能的数据类型。当你依赖SQL Server这个特性时,好好考虑下。

VARCHAR如何呢?SQL Server自动参数化包含字符值(例如VARCHAR)的SQL语句时,事情会好点。假设有下列表定义和下列2个查询:

复制代码
 1 -- Create another table to demonstrate this problem
 2 CREATE TABLE Orders3
 3 (
 4     Col1 INT IDENTITY(1, 1) PRIMARY KEY NOT NULL,
 5     Col2 VARCHAR(100)
 6 )
 7 GO
 8 
 9 -- Clears the Plan Cache
10 DBCC FREEPROCCACHE
11 GO
12 
13 -- A VARCHAR/CHAR column is always auto parametrized to a VARCHAR(8000)
14 SELECT * FROM Orders3
15 WHERE Col2 = 'Woody'
16 GO
17 
18 -- A VARCHAR column is always auto parametrized to a VARCHAR(8000)
19 SELECT * FROM Orders3
20 WHERE Col2 = 'Tu'
21 GO
复制代码

在这个情况下,SQL Server用VARCHAR(8000)生成1个自动参数化SQL语句——最大可能的数据类型。从刚才例子里,这是你所期待的行为。有时SQL Server好事坏事同时做……

小结

当你和简单SQL语句打交道时,自动参数化可以非常棒。但如你在这个文章里所见,你要知道SQL Server引入的副作用。另外SQL Server的简单参数化特性还会提供你强制参数化(Forced Parameterization)功能,这个我会在以后的文章里介绍。



本文转自Woodytu博客园博客,原文链接:http://www.cnblogs.com/woodytu/p/4728447.html,如需转载请自行联系原作者

相关文章
|
SQL 安全 数据库
如何在Django中正确使用参数化查询或ORM来避免SQL注入漏洞?
如何在Django中正确使用参数化查询或ORM来避免SQL注入漏洞?
1051 173
|
SQL 安全 PHP
PHP开发中防止SQL注入的方法,包括使用参数化查询、对用户输入进行过滤和验证、使用安全的框架和库等,旨在帮助开发者有效应对SQL注入这一常见安全威胁,保障应用安全
本文深入探讨了PHP开发中防止SQL注入的方法,包括使用参数化查询、对用户输入进行过滤和验证、使用安全的框架和库等,旨在帮助开发者有效应对SQL注入这一常见安全威胁,保障应用安全。
978 4
|
SQL Java 数据库连接
如何使用`DriverManager.getConnection()`连接数据库,并利用`PreparedStatement`执行参数化查询,有效防止SQL注入。
【10月更文挑战第6天】在代码与逻辑交织的世界中,我从一名数据库新手出发,通过不断探索与实践,最终成为熟练掌握JDBC的开发者。这段旅程充满挑战与惊喜,从建立数据库连接到执行SQL语句,再到理解事务管理和批处理等高级功能,每一步都让我对JDBC有了更深的认识。示例代码展示了如何使用`DriverManager.getConnection()`连接数据库,并利用`PreparedStatement`执行参数化查询,有效防止SQL注入。
525 5
|
关系型数据库 MySQL 网络安全
5-10Can't connect to MySQL server on 'sh-cynosl-grp-fcs50xoa.sql.tencentcdb.com' (110)")
5-10Can't connect to MySQL server on 'sh-cynosl-grp-fcs50xoa.sql.tencentcdb.com' (110)")
|
SQL 存储 监控
SQL Server的并行实施如何优化?
【7月更文挑战第23天】SQL Server的并行实施如何优化?
962 13
解锁 SQL Server 2022的时间序列数据功能
【7月更文挑战第14天】要解锁SQL Server 2022的时间序列数据功能,可使用`generate_series`函数生成整数序列,例如:`SELECT value FROM generate_series(1, 10)。此外,`date_bucket`函数能按指定间隔(如周)对日期时间值分组,这些工具结合窗口函数和其他时间日期函数,能高效处理和分析时间序列数据。更多信息请参考官方文档和技术资料。
650 9
|
SQL 存储 网络安全
关系数据库SQLserver 安装 SQL Server
【7月更文挑战第26天】
397 6
|
SQL 缓存 关系型数据库
PolarDB产品使用问题之SQL语句是否可以参数化
PolarDB产品使用合集涵盖了从创建与管理、数据管理、性能优化与诊断、安全与合规到生态与集成、运维与支持等全方位的功能和服务,旨在帮助企业轻松构建高可用、高性能且易于管理的数据库环境,满足不同业务场景的需求。用户可以通过阿里云控制台、API、SDK等方式便捷地使用这些功能,实现数据库的高效运维与持续优化。
|
SQL Oracle 关系型数据库
MySQL、SQL Server和Oracle数据库安装部署教程
数据库的安装部署教程因不同的数据库管理系统(DBMS)而异,以下将以MySQL、SQL Server和Oracle为例,分别概述其安装部署的基本步骤。请注意,由于软件版本和操作系统的不同,具体步骤可能会有所变化。
1458 3
|
存储 SQL C++
对比 SQL Server中的VARCHAR(max) 与VARCHAR(n) 数据类型
【7月更文挑战7天】SQL Server 中的 VARCHAR(max) vs VARCHAR(n): - VARCHAR(n) 存储最多 n 个字符(1-8000),适合短文本。 - VARCHAR(max) 可存储约 21 亿个字符,适合大量文本。 - VARCHAR(n) 在处理小数据时性能更好,空间固定。 - VARCHAR(max) 对于大文本更合适,但可能影响性能。 - 选择取决于数据长度预期和业务需求。
1460 1