如何在C++中基于CDatabase实现SQL Server预准备语句？

首先明确：SQLite的sqlite3_prepare()只能用于SQLite数据库，无法操作SQL Server，两者是完全独立的数据库系统，API不兼容，所以这条路走不通。

下面针对你使用的MFC CDatabase 和 CRecordset，提供两种简单实现预准备语句（参数化查询）的方式：

方法一：使用CRecordset的参数化查询（推荐，更贴合MFC框架） #

MFC的CRecordset封装了ODBC的预准备语句功能，核心是用?作为参数占位符，配合SetParam()绑定参数，打开记录集时指定CRecordset::prepare标记实现预编译。

示例：参数化INSERT操作 #

bool newWorker(CString table_name, CString workerName, int workerAge)
{
    try
    {
        // 构造带参数占位符的SQL（表名无法用参数，需提前校验合法性）
        CString stmt;
        stmt.Format(_T("INSERT INTO %s (name, age) VALUES (?, ?);"), table_name);

        CRecordset rs(&database);
        // 打开记录集时指定prepare标记，触发预编译
        rs.Open(AFX_DB_USE_DEFAULT_TYPE, stmt, CRecordset::prepare);

        // 绑定参数：索引从0开始，依次对应SQL中的?
        // 参数1：占位符索引，参数2：C语言数据类型，参数3：变量值/地址，参数4：SQL数据类型，参数5：数据长度
        rs.SetParam(0, SQL_C_CHAR, workerName, SQL_VARCHAR, workerName.GetLength());
        rs.SetParam(1, SQL_C_LONG, &workerAge, SQL_INTEGER, sizeof(int));

        // 执行插入操作
        rs.Update();
        rs.Close();

        cout << "Record inserted successfully!\n";
        return true;
    }
    catch (CException* p)
    {
        TCHAR errBuf[256];
        p->GetErrorMessage(errBuf, 256);
        cout << "Error: " << errBuf << endl;
        p->Delete(); // 必须释放异常对象，避免内存泄漏
        return false;
    }
}

示例：参数化SELECT操作 #

CString getWorkerNameById(int workerId)
{
    CString resultName;
    try
    {
        CString stmt = _T("SELECT name FROM workers WHERE id = ?;");
        CRecordset rs(&database);
        rs.Open(AFX_DB_USE_DEFAULT_TYPE, stmt, CRecordset::prepare);

        // 绑定ID参数
        rs.SetParam(0, SQL_C_LONG, &workerId, SQL_INTEGER, sizeof(int));

        // 读取查询结果
        if (rs.MoveFirst())
        {
            rs.GetFieldValue(_T("name"), resultName);
        }
        rs.Close();
    }
    catch (CException* p)
    {
        p->Delete();
    }
    return resultName;
}

方法二：直接调用ODBC原生API（更灵活） #

如果需要更底层的控制，可以通过CDatabase获取ODBC的连接句柄，直接使用SQLPrepare和SQLExecute实现预准备语句：

bool newWorker(CString table_name, CString workerName, int workerAge)
{
    try
    {
        HDBC hdbc = database.m_hdbc; // 获取CDatabase封装的ODBC连接句柄
        HSTMT hstmt = nullptr;
        
        // 分配语句句柄
        SQLAllocHandle(SQL_HANDLE_STMT, hdbc, &hstmt);

        CString stmt;
        stmt.Format(_T("INSERT INTO %s (name, age) VALUES (?, ?);"), table_name);

        // 预编译语句
        SQLPrepare(hstmt, (SQLTCHAR*)stmt.GetString(), SQL_NTS);

        // 绑定参数到占位符
        SQLBindParameter(hstmt, 1, SQL_PARAM_INPUT, SQL_C_CHAR, SQL_VARCHAR, 
                         workerName.GetLength(), 0, (SQLPOINTER)workerName.GetString(), 0, nullptr);
        SQLBindParameter(hstmt, 2, SQL_PARAM_INPUT, SQL_C_LONG, SQL_INTEGER, 
                         0, 0, (SQLPOINTER)&workerAge, 0, nullptr);

        // 执行预编译后的语句
        SQLExecute(hstmt);

        // 释放资源
        SQLFreeHandle(SQL_HANDLE_STMT, hstmt);

        cout << "Record inserted successfully!\n";
        return true;
    }
    catch (CException* p)
    {
        p->Delete();
        return false;
    }
}

关键注意事项 #

1. 表名/列名不能用参数占位符：ODBC参数仅支持值替换，动态表名/列名仍需拼接，但必须严格校验输入（比如限制为预定义的合法表名列表），避免SQL注入风险。
2. 异常处理：捕获CException后必须调用Delete()释放对象，否则会造成内存泄漏。
3. 参数类型匹配：SetParam或SQLBindParameter中的C类型和SQL类型必须对应（比如字符串用SQL_C_CHAR/SQL_VARCHAR，整数用SQL_C_LONG/SQL_INTEGER）。

内容的提问来源于stack exchange，提问作者Akito The Duck