Prepared statement
http://dbpedia.org/resource/Prepared_statement an entity of type: Work
參數化查詢（parameterized query 或 parameterized statement）是指在設計與資料庫連結並存取資料時，在需要填入數值或資料的地方，使用參數（parameter）來給值，這個方法目前已被視為最有效可預防SQL注入攻击的攻擊手法的防禦方式。 除了安全因素，相比起拼接字符串的SQL语句，参数化的查询往往有性能优势。因为参数化的查询能令不同的数据通过参数到达数据库，从而共用同一条SQL语句。大多数数据库会缓存解释SQL语句产生的字节码而省下重复解析的开销。如果采取拼接字符串的SQL语句，则会由于操作数据是SQL语句的一部分而非参数的一部分，而反复大量解释SQL语句产生不必要的开销。
rdf:langString
En sistemes de base de dades, prepared statement o sentència parametritzada és una característica utilitzada per executar sentències a base de dades similars i repetidament amb una eficiència alta. S'utilitza principalment en sentències SQL del tipus consulta (select) o actualització (update) on la declaració parametritzada pren la forma d'una en la qual se substitueixen certs valors constants durant cada execució. El workflow habitual en l'ús de les prepared statement és el següent:
rdf:langString
Ein Prepared Statement ist eine sogenannte vorbereitete Anweisung für ein Datenbanksystem.Im Gegensatz zu gewöhnlichen Statements enthält es noch keine Parameterwerte. Stattdessen werden dem Datenbanksystem Platzhalter übergeben. Mittels Prepared Statements können SQL-Injections effektiv verhindert werden, da das Datenbanksystem die Gültigkeit von Parametern prüft, bevor diese verarbeitet werden. Beispiel eines Prepared Statement in Java: Beispiel eines Prepared Statement in PHP mit PHP Data Objects:
rdf:langString
In database management systems (DBMS), a prepared statement, parameterized statement, or parameterized query is a feature used to pre-compile SQL code, separating it from data. Benefits of prepared statements are:
* efficiency, because they can be used repeatedly without re-compiling
* security, by reducing or eliminating SQL injection attacks A prepared statement takes the form of a pre-compiled template into which constant values are substituted during each execution, and typically use SQL DML statements such as INSERT, SELECT, or UPDATE. A common workflow for prepared statements is:
rdf:langString
프리페어드 스테이트먼트(prepared statement), 파라미터라이즈드 스테이트먼트(parameterized statement)는 데이터베이스 관리 시스템(DBMS)에서 동일하거나 비슷한 데이터베이스 문을 높은 효율성으로 반복적으로 실행하기 위해 사용되는 기능이다. 일반적으로 쿼리나 업데이트와 같은 SQL 문과 함께 사용되는 프리페어드 스테이트먼트는 템플릿의 형태를 취하며, 그 템플릿 안으로 특정한 상수값이 매 실행 때마다 대체된다. 프리페어드 스테이트먼트의 일반적인 워크플로는 다음과 같다:
rdf:langString
В системах управления базами данных подготовленный запрос или параметризованный запрос — это предоставляемая СУБД возможность предварительной компиляции кода SQL, отделённого от данных. Преимущества подготовленных запросов:
* эффективность, вытекающая из того, что их можно использовать повторно без повторной компиляции;
* безопасность. Их использование уменьшает или устраняет возможность атаки путём SQL-инъекции. Обычная последовательность использования подготовленных операторов: INSERT INTO products (name, price) VALUES ("bike", "10900");
rdf:langString
rdf:langString
Prepared statement
rdf:langString
Prepared Statement
rdf:langString
프리페어드 스테이트먼트
rdf:langString
Prepared statement
rdf:langString
Подготовленный запрос
rdf:langString
參數化查詢
xsd:integer
33211278
xsd:integer
1103939861
rdf:langString
En sistemes de base de dades, prepared statement o sentència parametritzada és una característica utilitzada per executar sentències a base de dades similars i repetidament amb una eficiència alta. S'utilitza principalment en sentències SQL del tipus consulta (select) o actualització (update) on la declaració parametritzada pren la forma d'una en la qual se substitueixen certs valors constants durant cada execució. El workflow habitual en l'ús de les prepared statement és el següent: 1.
* Prepare: La sentència plantilla és creada per l'aplicació i és enviada al sistema de gestió de base de dades (SGBD). Els valors que queden sense especificar s'anomenen paràmetres, placeholders o bind variables (etiquetats com un "?"): 2.
* INSERT INTO PRODUCT (name, price) VALUES (?, ?) 3.
* El SGBD parseja, compila i realitza una en la sentència plantilla i emmagatzema el resultat sense executar-lo. 4.
* Executar: en darrer lloc, l'aplicació substitueix (o bind; 'lliga') els valors pels paràmetres i llavors, el SGBD executa la sentència (possiblement retornant un resultat). L'aplicació pot executar l'statement tantes vegades com valor diferents es tinguin. En aquest exemple, es substitueix 'Pa' pel primer paràmetre i '1.00' pel segon paràmetre. Si es comparen amb l'execució de les sentències SQL directament, les parametritzades ofereixen dos avantatges principals:
* El cost de compilar i optimitzar de la sentència plantilla només es succeirà un cop, encara que la declaració s'executi diverses vegades. Tanmateix, no tota optimització pot ser efectuada durant la compilació del prepared statement per dues raons: la millor opció depèn dels valors específics dels paràmetres i la millor opció pot canviar si les taules com els índexs canvien amb el temps.
* Les sentències parametritzades són resistents contra injecció SQL, perquè els valors parametritzats, que són transmesos després utilitzant un protocol diferent, no necessiten ser escapats. Si la plantilla de la sentència original no prové d'una entrada externa, no es pot donar la injecció SQL. D'altra banda, si una consulta és executada només una vegada, les prepared statement en el costat del servidor podrien ser més lentes perquè requereixen un temps addicional d'anada i tornada al servidor. Les limitacions d'implementació també poden donar lloc a penalitzacions de rendiment: algunes versions de MySQL no guarden el resultat en memòria cau en el cas de consultes parametritzades i alguns SGBDs com PostgreSQL no apliquen optimitzacions addicionals a les consultes durant execució.
rdf:langString
Ein Prepared Statement ist eine sogenannte vorbereitete Anweisung für ein Datenbanksystem.Im Gegensatz zu gewöhnlichen Statements enthält es noch keine Parameterwerte. Stattdessen werden dem Datenbanksystem Platzhalter übergeben. Mittels Prepared Statements können SQL-Injections effektiv verhindert werden, da das Datenbanksystem die Gültigkeit von Parametern prüft, bevor diese verarbeitet werden. Soll ein Statement mit unterschiedlichen Parametern mehrere Male (z. B. innerhalb einer Schleife) auf dem Datenbanksystem ausgeführt werden, können Prepared Statements einen Geschwindigkeitsvorteil bringen, da das Statement schon vorübersetzt im Datenbanksystem vorliegt und nur noch mit den neuen Parametern ausgeführt werden muss. Beispiel eines Prepared Statement in Java: // Statement wird erzeugtPreparedStatement ps = connection.prepareStatement( "SELECT user, password FROM tbl_user WHERE user = ?");// Parameter werden übergebenps.setString(1, username);// Statement wird ausgeführt.ResultSet rs = ps.executeQuery; Beispiel eines Prepared Statement in PHP mit PHP Data Objects: $stmt = $dbh->prepare('SELECT user, password FROM tbl_user WHERE user = :user');$stmt->bindParam(':user', $user);// eine Zeile abfragen$user = 'Alice';$stmt->execute;// eine weitere Zeile mit anderen Werten abfragen$user = 'Bob';$stmt->execute;?>
rdf:langString
In database management systems (DBMS), a prepared statement, parameterized statement, or parameterized query is a feature used to pre-compile SQL code, separating it from data. Benefits of prepared statements are:
* efficiency, because they can be used repeatedly without re-compiling
* security, by reducing or eliminating SQL injection attacks A prepared statement takes the form of a pre-compiled template into which constant values are substituted during each execution, and typically use SQL DML statements such as INSERT, SELECT, or UPDATE. A common workflow for prepared statements is: 1.
* Prepare: The application creates the statement template and sends it to the DBMS. Certain values are left unspecified, called parameters, placeholders or bind variables (labelled "?" below):INSERT INTO products (name, price) VALUES (?, ?); 2.
* Compile: The DBMS compiles (parses, optimizes and translates) the statement template, and stores the result without executing it. 3.
* Execute: The application supplies (or binds) values for the parameters of the statement template, and the DBMS executes the statement (possibly returning a result). The application may request the DBMS to execute the statement many times with different values. In the above example, the application might supply the values "bike" for the first parameter and "10900" for the second parameter, and then later the values "shoes" and "7400". The alternative to a prepared statement is calling SQL directly from the application source code in a way that combines code and data. The direct equivalent to the above example is: INSERT INTO products (name, price) VALUES ("bike", "10900"); Not all optimization can be performed at the time the statement template is compiled, for two reasons: the best plan may depend on the specific values of the parameters, and the best plan may change as tables and indexes change over time. On the other hand, if a query is executed only once, server-side prepared statements can be slower because of the additional round-trip to the server. Implementation limitations may also lead to performance penalties; for example, some versions of MySQL did not cache results of prepared queries. A stored procedure, which is also precompiled and stored on the server for later execution, has similar advantages. Unlike a stored procedure, a prepared statement is not normally written in a procedural language and cannot use or modify variables or use control flow structures, relying instead on the declarative database query language. Due to their simplicity and client-side emulation, prepared statements are more portable across vendors.
rdf:langString
프리페어드 스테이트먼트(prepared statement), 파라미터라이즈드 스테이트먼트(parameterized statement)는 데이터베이스 관리 시스템(DBMS)에서 동일하거나 비슷한 데이터베이스 문을 높은 효율성으로 반복적으로 실행하기 위해 사용되는 기능이다. 일반적으로 쿼리나 업데이트와 같은 SQL 문과 함께 사용되는 프리페어드 스테이트먼트는 템플릿의 형태를 취하며, 그 템플릿 안으로 특정한 상수값이 매 실행 때마다 대체된다. 프리페어드 스테이트먼트의 일반적인 워크플로는 다음과 같다: 1.
* 준비(Prepare): 먼저 애플리케이션은 문의 틀을 만들고 이를 DBMS로 보낸다. 특정값은 지정하지 않은 채로 남겨지며 이들은 "변수", "플레이스홀더", "바인드값"으로 부른다. (아래의 "?" 레이블 참고):INSERT INTO products (name, price) VALUES (?, ?); 2.
* 그 다음, DBMS는 문의 틀을 컴파일하며(최적화 및 변환) 아직 실행하지 않고 결과만 저장한다. 3.
* 실행(Execute): 나중에 애플리케이션이 문 틀의 변수에 값(바인드)을 지정하면 DBMS는 (결과를 반환할 수도 있는) 문을 실행한다. 애플리케이션은 여러 값으로 원하는 횟수만큼 문을 실행할 수 있다. 위의 예에서 첫 번째 변수로 "bike"로, 두 번째 변수로 "10900"을 지정한다.
rdf:langString
В системах управления базами данных подготовленный запрос или параметризованный запрос — это предоставляемая СУБД возможность предварительной компиляции кода SQL, отделённого от данных. Преимущества подготовленных запросов:
* эффективность, вытекающая из того, что их можно использовать повторно без повторной компиляции;
* безопасность. Их использование уменьшает или устраняет возможность атаки путём SQL-инъекции. Подготовленный оператор фактически является предварительно скомпилированным шаблоном, в который подставляются постоянные значения во время каждого выполнения, и обычно используются такие операторы SQL DML, такие как INSERT, SELECT или UPDATE. Обычная последовательность использования подготовленных операторов:
* Подготовка: приложение создает шаблон запроса и отправляет его в СУБД. Некоторые значения остаются неуказанными, они называются параметрами, заполнителями или переменными связывания (обозначены ниже как «?»):INSERT INTO products (name, price) VALUES (?, ?);
* Компиляция: СУБД компилирует (анализирует, оптимизирует и транслирует) шаблон запроса и сохраняет результат, не выполняя его.
* Выполнение: приложение предоставляет (или привязывает) значения для параметров шаблона оператора, а СУБД выполняет оператор (возможно, возвращая результат). Приложение может запросить у СУБД многократное выполнение оператора с разными значениями. В приведенном выше примере приложение может предоставить значения «велосипед» для первого параметра и «10900» для второго параметра, а затем значения «обувь» и «7400». Альтернативой подготовленному запросу является вызов SQL непосредственно из исходного кода приложения таким образом, чтобы сочетались код и данные. Прямой эквивалент приведенному выше примеру: INSERT INTO products (name, price) VALUES ("bike", "10900"); Не все оптимизации могут быть выполнены во время компиляции шаблона оператора по двум причинам: лучший план запроса может зависеть от конкретных значений параметров, и лучший план запроса может меняться с течением времени из-за изменения таблиц и индексов. Когда и если подготовленный запрос выполняется только один раз, он будет выполняться медленнее из-за дополнительного обращения к серверу. Ограничения реализации также могут привести к снижению производительности; например, некоторые версии MySQL не кэшировали результаты подготовленных запросов. Хранимые процедуры, которые также предварительно компилируются и сохраняются на сервере для последующего выполнения, обладают аналогичными преимуществами. В отличие от хранимых процедур, подготовленный запрос обычно не пишется на процедурном языке и не может использовать или изменять переменные или использовать структуры потока управления, полагаясь вместо этого на декларативный язык запросов к базе данных. Благодаря своей простоте и возможности эмуляции на стороне клиента (если целевая СУБД их не поддерживает) подготовленные запросы более переносимы между различными СУБД, чем хранимые процедуры.
rdf:langString
參數化查詢（parameterized query 或 parameterized statement）是指在設計與資料庫連結並存取資料時，在需要填入數值或資料的地方，使用參數（parameter）來給值，這個方法目前已被視為最有效可預防SQL注入攻击的攻擊手法的防禦方式。 除了安全因素，相比起拼接字符串的SQL语句，参数化的查询往往有性能优势。因为参数化的查询能令不同的数据通过参数到达数据库，从而共用同一条SQL语句。大多数数据库会缓存解释SQL语句产生的字节码而省下重复解析的开销。如果采取拼接字符串的SQL语句，则会由于操作数据是SQL语句的一部分而非参数的一部分，而反复大量解释SQL语句产生不必要的开销。
xsd:nonNegativeInteger
15621