MSSQL预处理语句迁移到MariaDB的等效实现方案咨询

基础支持说明 #

MariaDB原生支持服务端预处理语句，可实现执行计划复用、自动参数转义防SQL注入的能力，和你用到的MSSQL预处理逻辑能力完全对等。

Node.js环境下等效代码实现 #

你给出的示例是Node.js的封装逻辑，常用的mysql2、官方mariadb驱动都支持对应的参数化查询能力，等效实现如下：

1. 问号占位符写法（默认支持） #

// database.js 连接池初始化逻辑
const mysql = require('mysql2/promise');
const pool = mysql.createPool({
  host: '数据库主机地址',
  user: '数据库用户名',
  password: '数据库密码',
  database: '目标库名',
  connectionLimit: 10
});
module.exports = pool;

// 业务逻辑实现
const db = require('../database.js');
module.exports = {
  getUserName: async (name) => {
    const [rows] = await db.query(
      `SELECT * FROM person WHERE name = ?`,
      [name]
    );
    return rows;
  }
};

• 上述代码中?是默认参数占位符，驱动会按顺序绑定后续传入的参数数组，底层自动走预处理逻辑，和MSSQL中@name命名占位+input绑定的效果一致。

2. 命名占位符写法（适配MSSQL使用习惯） #

如果偏好使用命名占位符，只需在连接池配置中开启namedPlaceholders参数即可：

// 连接池初始化新增配置
const pool = mysql.createPool({
  // 其余基础配置不变
  namedPlaceholders: true
});

// 业务逻辑写法更贴近原有MSSQL习惯
module.exports = {
  getUserName: async (name) => {
    const [rows] = await db.query(
      `SELECT * FROM person WHERE name = :name`,
      { name: name }
    );
    return rows;
  }
};

原生SQL手动预处理语法 #

如果需要直接在数据库层面执行预处理语句，可使用MariaDB原生语法：

-- 定义预处理语句
PREPARE user_query FROM 'SELECT * FROM person WHERE name = ?';
-- 绑定参数变量
SET @input_name = '测试用户';
-- 执行预处理语句
EXECUTE user_query USING @input_name;
-- 释放预处理资源
DEALLOCATE PREPARE user_query;

内容的提问来源于stack exchange，提问作者amstriker