如何将OCaml中的SQLite3普通插入语句转换为预处理语句？

正确的预处理语句实现代码 #

open Sqlite3

type article = { author : string; content: string }

let insert_article db (article: article) =
  (* 1. 创建预处理语句，仅传入数据库连接和SQL模板 *)
  match prepare db "INSERT INTO blog (author, content) VALUES (?, ?)" with
  | Error err -> raise @@ Failure ("预处理语句创建失败: " ^ err)
  | Ok stmt ->
      (* 2. 绑定参数到占位符（SQLite占位符索引从1开始） *)
      let bind_author = bind stmt 1 (Data.TEXT article.author) in
      let bind_content = bind stmt 2 (Data.TEXT article.content) in
      
      if bind_author = Rc.OK && bind_content = Rc.OK then
        (* 3. 执行预处理语句 *)
        match step stmt with
        | Rc.DONE -> 
            (* 4. 执行完成后必须释放语句资源 *)
            finalize stmt; ()
        | rc ->
            finalize stmt;
            raise @@ Failure ("插入执行失败: " ^ Rc.to_string rc)
      else
        let err_msg = if bind_author <> Rc.OK then "author参数绑定失败" else "content参数绑定失败" in
        finalize stmt;
        raise @@ Failure err_msg

关键知识点解析 #

1. 预处理语句的核心流程
   prepare函数仅负责解析SQL模板并创建语句对象，参数绑定是独立步骤——你之前的错误是直接把参数传给prepare，但它的签名只接受数据库连接和SQL字符串两个参数。

2. 参数绑定规则

   • SQLite的占位符（?）索引从1开始，不是0；
   • 所有参数必须用Sqlite3.Data类型包装：字符串用Data.TEXT，整数用Data.INT，以此类推；
   • 每次绑定都会返回Rc.t类型的状态码，必须检查是否为Rc.OK。

3. 资源管理
   预处理语句使用完毕后必须调用finalize释放资源，否则会造成内存泄漏。即使执行出错，也要确保调用finalize。

4. 执行语句
   用step函数执行预处理语句，插入/更新操作成功会返回Rc.DONE；查询操作则需要多次调用step获取结果。

额外提示 #

• 预处理语句可以复用：如果需要批量插入多条数据，只需创建一次语句对象，循环绑定不同参数并执行step，最后再finalize即可，能大幅提升性能。
• 这种写法从根本上避免了SQL注入风险，比字符串拼接的方式更安全。

内容的提问来源于stack exchange，提问作者OrderAndChaos