QSqlQuery绑定值：BindValues与QString.arg()的性能及数据库差异？是否优先选用？

先看两种绑定方式的示例代码 #

QString.arg() 实现

QSqlQuery qry;
qry.prepare(QString("INSERT INTO employee (id, name, salary) VALUES (%1, 'Thad Beaumont', %2)").arg(1001).arg(65000));
qry.exec();

QSqlQuery::bindValue 实现

QSqlQuery query;
query.prepare("INSERT INTO employee (id, name, salary) VALUES (:id, :name,:salary)");
query.bindValue(":id", 1001);
query.bindValue(":name", "Thad Beaumont");
query.bindValue(":salary", 65000);
query.exec();

接下来咱们从三个核心维度拆解这两种方式的区别：

1. 性能差异 #

• 单次执行场景：两者性能几乎没差别，毕竟都是执行一条SQL，客户端处理和数据库执行的开销微乎其微，普通人根本感知不到。
• 多次重复执行场景：bindValue的优势就凸显出来了！因为用bindValue时，数据库会先预编译SQL模板（就是prepare()里的那条不带参数的SQL），之后每次执行只需要传递参数值就行，不需要重新解析、编译SQL；而QString.arg()每次都会生成全新的SQL字符串，数据库每次都得从头解析编译，重复执行几十上百次的话，bindValue的性能提升会非常明显。

2. 数据库层面的核心区别 #

这部分是两者最本质的不同：

• 预编译机制不同：
  • bindValue是真正的参数化查询：数据库先编译SQL模板，参数是单独传递的，属于数据库级别的预编译操作，相当于给SQL留了占位符，后续只填值就行。
  • QString.arg()只是客户端字符串拼接：最终发送给数据库的是一条完整的、包含所有值的SQL语句，数据库根本不知道你是拼接出来的，只会当作普通SQL处理，没有预编译的过程。
• SQL注入防护能力不同：
  • bindValue能彻底杜绝SQL注入！因为参数和SQL模板是分离传递的，数据库会把参数当作纯数据处理，不会解析成SQL指令。比如如果name的值是' OR 1=1 --，用bindValue只会把它当作普通字符串存进数据库；但用arg()拼接后，SQL会变成恶意语句，直接绕过验证甚至篡改数据。
• 数据类型处理不同：
  • bindValue会自动适配数据库字段类型：你传int就按整数处理，传QString就按字符串处理，不需要手动转义特殊字符（比如字符串里的单引号），减少类型转换错误。
  • arg()需要开发者自己处理转义和类型转换：比如字符串里有单引号的话，直接用arg()会导致SQL语法错误，必须手动把'改成''，很容易遗漏出错。

3. 是否优先选用bindValue？ #

答案是绝对优先，原因如下：

• 安全性：从根源上防止SQL注入，这是生产环境中最关键的一点，毕竟安全事故的代价太大了。
• 可维护性：SQL模板和参数分离，代码更清晰，修改参数不需要改动SQL语句本身，后期维护更省心。
• 性能：重复执行相同模板的SQL时，预编译带来的性能提升很可观。
• 类型安全：自动处理数据类型映射，避免手动转义的繁琐和错误。

当然，如果是那种非常简单的一次性SQL（比如只执行一次，参数是完全可信的固定值），用arg()也没问题，但从最佳实践的角度，bindValue应该是你的首选方案。

内容的提问来源于stack exchange，提问作者Petar Petrov