取决于输入值的SQL

Question

我有七个输入框，人们可以在其中输入值。 将这些值与表格进行比较，最终结果推出了，这是一个搜索功能。 现在，我有了一个包含三个输入框的页面，然后进行以下操作：

if (box1 is filled && box2 is filled & box 3 is filled) {
sql="take all three values into account when comparing..";
}

if (box1 is not filled && box2 is not filled & box 3 is nog filled) {
sql="take no values into account when comparing..";
}

and so on...

对于三个框，这没关系，您只有几个组合和三个框。 但是，这对于7个盒子是不可行的，您可以获得更多的组合！ 如何使我的SQL依赖于填写的字段？ 希望你们有一个聪明的解决方案！

Answer 1

您可以使用COALESCE （或ISNULL ）：

...
WHERE Column1 = COALESCE(@Column1, Column1) 
AND   Column2 = COALESCE(@Column2, Column2) 
...
AND   Column7 = COALESCE(@Column7, Colum7) 

因此，仅当参数不为null时， WHERE才会应用于该字段。

Answer 2

分段构建查询。 喜欢：

StringBuilder where=new StringBuilder();
String conj=" where ";
if (box1.length()>0)
{
  where.append(conj).append("value1=").append(esc(box1));
  conj=" and ";
}
if (box2.length()>0)
{
  where.append(conj).append("value2=").append(esc(box2));
  conj=" and ";
}
... etc ...
String sql="select value1, value2, value3 from mytable" + where.toString();

几个注意事项：

假设您不知道可以输入哪种字段组合，则可能需要进行一些操作才能正确设置连接，即您不希望查询中说“ where and value2 ='x'”。 上面的代码将“ where”放在第一个条件之前，将“ and”放在后面的每个条件之前。

旁注：在构建像这样的查询时，需要注意SQL注入。 编写一个转义函数-在这里我假设您将其称为“ esc”-将所有引号加倍。 对于大多数SQL引擎，这就是您所要担心的。 有些人还有其他魔法人物，例如后盾，还需要逃脱。 或者，您可以构建一个准备好的语句，然后返回并填写值。 这样比较安全，但是会迫使您检查两次填写了哪些字段，一次是构建SQL，第二次是填写值。 这有点混乱，但是更安全。 永远不会接受用户输入的值，只需将“'+ value +”'“放置到SQL语句中即可：这使您对输入”';从用户删除；从用户选择*的黑客大开眼界。 'x'='“。 他所要做的只是猜测一个表名正确。