全部标签
写点什么
OpenHarmony算法元宇宙MySQL移动开发学习方法学习方法Web3.0高效工作数据库Python音视频前端AI大数据团队管理程序员运维深度思考低代码redisgolang微服务架构flutter 查看更多

SQL 日期处理和视图创建：常见数据类型、示例查询和防范 SQL 注入方法

作者：小万哥
  • 2023-12-04
    广东

  • 本文字数：2335 字

    阅读完需：约 8 分钟

SQL 日期处理和视图创建：常见数据类型、示例查询和防范 SQL 注入方法

SQL 处理日期

在数据库操作中，处理日期是一个关键的方面。确保插入的日期格式与数据库中日期列的格式匹配至关重要。以下是一些常见的 SQL 日期数据类型和处理方法。

SQL 日期数据类型

MySQL 日期数据类型

  • DATE - 格式为 YYYY-MM-DD

  • DATETIME - 格式为 YYYY-MM-DD HH:MI:SS

  • TIMESTAMP - 格式为 YYYY-MM-DD HH:MI:SS

  • YEAR - 格式为 YYYY 或 YY

SQL Server 日期数据类型

  • DATE - 格式为 YYYY-MM-DD

  • DATETIME - 格式为 YYYY-MM-DD HH:MI:SS

  • SMALLDATETIME - 格式为 YYYY-MM-DD HH:MI:SS

  • TIMESTAMP - 格式为一个唯一的数字


注意： 在创建新表时，请为列选择适当的日期类型。

SQL 处理日期示例

考虑以下订单表：


选择日期为"2008-11-11"的记录（没有时间部分）

SELECT * FROM Orders WHERE OrderDate='2008-11-11'
复制代码


结果：



注意： 如果没有涉及时间组件，可以轻松比较两个日期。

考虑带有时间部分的订单表

选择日期为"2008-11-11"的记录（考虑时间部分）

SELECT * FROM Orders WHERE OrderDate='2008-11-11'
复制代码


结果：零结果！这是因为查询仅寻找没有时间部分的日期。 若要考虑时间部分，需要使用其他条件或函数。

SQL 视图

在 SQL 中，视图是基于 SQL 语句的结果集的虚拟表。视图类似于真实表，包含行和列，但其数据实际上来自一个或多个真实表。

创建视图

使用CREATE VIEW语句创建视图。以下是基本的CREATE VIEW语法：


CREATE VIEW view_name ASSELECT column1, column2, ...FROM table_nameWHERE condition;
复制代码


注意： 视图会始终显示最新数据，每当用户查询它时，数据库引擎都会重新创建视图。

示例 1: 创建显示巴西客户的视图

CREATE VIEW [Brazil Customers] ASSELECT CustomerName, ContactNameFROM CustomersWHERE Country = 'Brazil';
复制代码


查询视图：


SELECT * FROM [Brazil Customers];
复制代码

示例 2: 创建高于平均价格的产品视图

CREATE VIEW [Products Above Average Price] ASSELECT ProductName, PriceFROM ProductsWHERE Price > (SELECT AVG(Price) FROM Products);
复制代码


查询视图：


SELECT * FROM [Products Above Average Price];
复制代码

更新视图

使用CREATE OR REPLACE VIEW语句可以更新视图。


CREATE OR REPLACE VIEW view_name ASSELECT column1, column2, ...FROM table_nameWHERE condition;
复制代码

示例: 向"巴西客户"视图添加"City"列

CREATE OR REPLACE VIEW [Brazil Customers] ASSELECT CustomerName, ContactName, CityFROM CustomersWHERE Country = 'Brazil';
复制代码

删除视图

使用DROP VIEW语句删除视图。


DROP VIEW view_name;
复制代码

示例: 删除"巴西客户"视图

DROP VIEW [Brazil Customers];
复制代码

SQL 注入

SQL 注入是一种恶意的代码注入技术，可能会破坏数据库的安全性。它是网络黑客经常使用的一种攻击方式。SQL 注入发生在 Web 页面接受用户输入，并将该输入插入到 SQL 语句中的情况下，而用户提供的输入不是正常的数据，而是恶意构造的 SQL 语句。

基本概念

示例 1: 基于 1=1 的 SQL 注入

考虑以下代码：


txtUserId = getRequestString("UserId");txtSQL = "SELECT * FROM Users WHERE UserId = " + txtUserId;
复制代码


如果用户输入的txtUserId是 105 OR 1=1，则构建的 SQL 语句为：


SELECT * FROM Users WHERE UserId = 105 OR 1=1;
复制代码


这将返回Users表中的所有行，因为 OR 1=1 始终为真。这种注入可能导致访问敏感信息。

示例 2: 基于""=""的 SQL 注入

考虑用户登录的情况：


uName = getRequestString("username");uPass = getRequestString("userpassword");
sql = 'SELECT * FROM Users WHERE Name ="' + uName + '" AND Pass ="' + uPass + '"'
复制代码


如果用户输入的uName和uPass是 " or ""="，则构建的 SQL 语句为：


SELECT * FROM Users WHERE Name ="" or ""="" AND Pass ="" or ""=""
复制代码


这将返回Users表中的所有行，绕过了登录验证。

示例 3: 基于批处理 SQL 语句的 SQL 注入

某些数据库支持批处理 SQL 语句，允许一次执行多个 SQL 语句。黑客可以尝试通过输入恶意批处理语句来执行危险的操作。


SELECT * FROM Users; DROP TABLE Suppliers
复制代码


这将返回Users表中的所有行，并删除Suppliers表。

防范 SQL 注入

使用 SQL 参数

为了防止 SQL 注入，可以使用 SQL 参数。SQL 参数是在执行时以受控的方式添加到 SQL 查询中的值。

ASP.NET Razor 示例

txtUserId = getRequestString("UserId");txtSQL = "SELECT * FROM Users WHERE UserId = @0";db.Execute(txtSQL, txtUserId);
复制代码


在上述示例中，参数在 SQL 语句中用 @ 标记表示。

示例: 使用参数的其他语言示例

ASP.NET 中的 SELECT 语句

txtUserId = getRequestString("UserId");sql = "SELECT * FROM Customers WHERE CustomerId = @0";command = new SqlCommand(sql);command.Parameters.AddWithValue("@0", txtUserId);command.ExecuteReader();
复制代码

ASP.NET 中的 INSERT INTO 语句

txtNam = getRequestString("CustomerName");txtAdd = getRequestString("Address");txtCit = getRequestString("City");txtSQL = "INSERT INTO Customers (CustomerName,Address,City) Values(@0,@1,@2)";command = new SqlCommand(txtSQL);command.Parameters.AddWithValue("@0", txtNam);command.Parameters.AddWithValue("@1", txtAdd);command.Parameters.AddWithValue("@2", txtCit);command.ExecuteNonQuery();
复制代码

PHP 中的 INSERT INTO 语句

$stmt = $dbh->prepare("INSERT INTO Customers (CustomerName,Address,City)VALUES (:nam, :add, :cit)");$stmt->bindParam(':nam', $txtNam);$stmt->bindParam(':add', $txtAdd);$stmt->bindParam(':cit', $txtCit);$stmt->execute();
复制代码


使用参数化查询可以有效防止 SQL 注入攻击，因为参数将在执行时以安全的方式插入到 SQL 查询中。

最后

为了方便其他设备和平台的小伙伴观看往期文章：


微信公众号搜索：Let us Coding，关注后即可获取最新文章推送


看完如果觉得有帮助，欢迎 点赞、收藏、关注

划线
评论
复制
发布于: 刚刚阅读数: 3

版权声明: 本文为 InfoQ 作者【小万哥】的原创文章。

原文链接:【http://xie.infoq.cn/article/ecb82b68b260b3ce38fa83c1d】。文章转载请联系作者。

MySQL数据库程序员ｓｑｌ后端开发
用户头像

小万哥

关注

代码如人生 2023-02-09 加入

编程爱好者

评论

发布
暂无评论
Copyright © 2023, Geekbang Technology Ltd. All rights reserved. 极客邦控股（北京）有限公司 | 京 ICP 备 16027448 号 - 5京公网安备京公网安备 11010502039052号 | 产品资质
SQL 日期处理和视图创建：常见数据类型、示例查询和防范 SQL 注入方法_MySQL_小万哥_InfoQ写作社区