MySQL如何对SQL做prepare预处理(解决IN查询SQL预处理仅能查询出一条记录的问题)

一、前言/概述

本周同事问了我一个问题,SQL中如何使用占位符?做预处理,为什么他用了prepare却没有生效;

1、prepare简介

多次执行一条 SQL 语句时,如果每次都处理该 SQL 语句,生成执行计划,必然会浪费一定的时间。

SQL预处理(Prepare),是一种特殊的 SQL 处理方式;预处理不会直接执行 SQL 语句,而是先将 SQL 语句编译,生成执行计划,然后通过 Execute 命令携带 SQL 参数执行 SQL 语句。

  • Prepare 的使用十分广泛,绝大多数 ORM 框架都有 API 支持;
  • Prepare 既可以提升 SQL 执行性能,还能防止 SQL 注入引发的安全问题;
  • Prepare 虽然在每个数据库中的语法差异很大,但是一般情况下我们都不会手写 SQL,而是使用 ORM 框架来做;

2、prepare的由来?

从mysql服务器执行sql的过程来看,SQL执行过程包括以下阶段 词法分析->语法分析->语义分析->执行计划优化->执行。

词法分析->语法分析这两个阶段我们称之为硬解析。

  • 词法分析识别sql中每个词;
  • 语法分析解析SQL语句是否符合sql语法,并得到一棵语法树(Lex)。

对于只是参数不同,其他均相同的sql,它们执行时间不同但硬解析的时间是相同的。

而同一SQL随着查询数据的变化,多次查询执行时间可能不同,但硬解析的时间是不变的。所以对于sql执行时间较短,sql硬解析的时间占总执行时间的比率越高。

Prepare的出现就是为了优化硬解析的问题。

虽然Prepare在execute阶段可以节省硬解析的时间。但如果sql只执行一次,且以prepare的方式执行,那么sql执行需两次与服务器交互(Prepare和execute), 而以普通(非prepare)方式,只需要一次交互。这样使用prepare会带来额外的网络开销,得不偿失。

如果同一sql需要执行多次,比如:以prepare方式执行10次,那么只需要一次硬解析。这时候 额外的网络开销就显得微乎其微了;因此prepare更适用于频繁执行的SQL中。

二、prepare做IN查询

MySQL 预处理是一组 SQL 操作的集合,它没有固定的语法格式,但多数情况下会按照如下 3 个步骤使用:

  1. 使用PREPARE指令预定义 SQL 语句模板;
  2. 使用SET指令定义 SQL 参数;
  3. 使用EXECUTE指令携带参数执行 SQL 模板。

1、预处理IN查询时失效了!

SQL:

prepare myFun from 'select  * from user where id IN (?)';
set @str='1,2';
execute myFun using @str;

上述SQL会做三件事:

  1. 创建预处理SQL(myFun),要使用变量的地方 用?表示;
  2. 设置变量@str
  3. 执行预处理SQL(myFun),USING 后面跟参数,如果存在多个参数(即多个占位符?)使用英文逗号,分隔;

SQL执行结果:
在这里插入图片描述
从SQL执行结果来看,发现预处理SQL没有完全生效,只查询出了一行记录;正常应该查出两行记录;

2、解决预处理IN查询失效问题

使用如下SQL替换:

prepare myFun from 'select  * from user where FIND_IN_SET(id,?)';
set @str='1,2';
execute myFun using @str;

SQL执行结果(符合预期):
在这里插入图片描述

3、MyBatis和JDBC中的动态IN查询

mybatis支持in的动态sql查询,其入参可以是一个Collection,底层将Collection的内容构建成使用英文逗号,分隔的字符串;也可以是英文逗号,分隔的字符串。

而原生的jdbc中sql不支持IN直接针对单个占位符?传入逗号拼接的字符串,例如in (‘001’, ‘002’),需要开发者根据传入参数的个数来个构建占位符?的个数;

例如传入一个数组或List,{‘001’, ‘002’};需要构造的in为:in(?, ?);
然后再通过PreparedStatement#setString()方法动态构建SQL语句,。

  • 27
    点赞
  • 24
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 23
    评论
MySQL中的预处理语句(Prepare)是一种将SQL语句预处理为占位符的方式,然后通过执行execute语句来为这些占位符赋值,最后执行占位符替换后的SQL语句。该机制可以有效地避免SQL注入攻击,同时提高SQL的执行效率。 以下是预处理语句的基本用法: 1. 准备预处理语句 ``` PREPARE stmt_name FROM 'SELECT * FROM mytable WHERE col = ?'; ``` 2. 执行预处理语句 ``` SET @col_value = 'value'; EXECUTE stmt_name USING @col_value; ``` 3. 删除预处理语句 ``` DEALLOCATE PREPARE stmt_name; ``` 在执行预处理语句时,使用USING子句为占位符赋值。占位符可以是问号(?)或命名占位符(@placeholder),如下所示: ``` PREPARE stmt_name FROM 'SELECT * FROM mytable WHERE col1 = ? AND col2 = @col2'; SET @col1_value = 'value1'; SET @col2_value = 'value2'; EXECUTE stmt_name USING @col1_value, @col2_value; ``` 注意,在使用命名占位符时,需要在prepare语句中使用@符号来定义占位符的名称。 另外,预处理语句还支持IN参数,用于在一个查询中一次性传递多个值。 ``` PREPARE stmt_name FROM 'SELECT * FROM mytable WHERE col1 IN (?)'; SET @col1_values = 'value1,value2,value3'; EXECUTE stmt_name USING @col1_values; ``` 在上面的例子中,@col1_values是一个逗号分隔的字符串,包含多个值,这些值将被解析为一个数组并用于查询中。 总的来说,预处理语句可以提高数据库查询的安全性和效率,特别是在处理用户输入时,应该优先考虑使用预处理语句。
评论 23
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

秃秃爱健身

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值