翼度科技»论坛 编程开发 mysql 查看内容

SQL 日期处理和视图创建:常见数据类型、示例查询和防范 SQL 注入方法

8

主题

8

帖子

24

积分

新手上路

Rank: 1

积分
24
SQL处理日期

在数据库操作中,处理日期是一个关键的方面。确保插入的日期格式与数据库中日期列的格式匹配至关重要。以下是一些常见的SQL日期数据类型和处理方法。
SQL日期数据类型

MySQL日期数据类型


  • DATE - 格式为YYYY-MM-DD
  • DATETIME - 格式为YYYY-MM-DD HH:MI:SS
  • TIMESTAMP - 格式为YYYY-MM-DD HH:MI:SS
  • YEAR - 格式为YYYY或YY
SQL Server日期数据类型


  • DATE - 格式为YYYY-MM-DD
  • DATETIME - 格式为YYYY-MM-DD HH:MI:SS
  • SMALLDATETIME - 格式为YYYY-MM-DD HH:MI:SS
  • TIMESTAMP - 格式为一个唯一的数字
注意: 在创建新表时,请为列选择适当的日期类型。
SQL处理日期示例

考虑以下订单表:
订单ID产品名称订单日期1Geitost2008-11-112Camembert Pierrot2008-11-093Mozzarella di Giovanni2008-11-114Mascarpone Fabioli2008-10-29选择日期为"2008-11-11"的记录(没有时间部分)
  1. SELECT * FROM Orders WHERE OrderDate='2008-11-11'
复制代码
结果:
订单ID产品名称订单日期1Geitost2008-11-113Mozzarella di Giovanni2008-11-11注意: 如果没有涉及时间组件,可以轻松比较两个日期。
考虑带有时间部分的订单表

订单ID产品名称订单日期1Geitost2008-11-11 13:23:442Camembert Pierrot2008-11-09 15:45:213Mozzarella di Giovanni2008-11-11 11:12:014Mascarpone Fabioli2008-10-29 14:56:59选择日期为"2008-11-11"的记录(考虑时间部分)
  1. SELECT * FROM Orders WHERE OrderDate='2008-11-11'
复制代码
结果:零结果!这是因为查询仅寻找没有时间部分的日期。 若要考虑时间部分,需要使用其他条件或函数。
SQL视图

在SQL中,视图是基于SQL语句的结果集的虚拟表。视图类似于真实表,包含行和列,但其数据实际上来自一个或多个真实表。
创建视图

使用CREATE VIEW语句创建视图。以下是基本的CREATE VIEW语法:
  1. CREATE VIEW view_name AS
  2. SELECT column1, column2, ...
  3. FROM table_name
  4. WHERE condition;
复制代码
注意: 视图会始终显示最新数据,每当用户查询它时,数据库引擎都会重新创建视图。
示例 1: 创建显示巴西客户的视图
  1. CREATE VIEW [Brazil Customers] AS
  2. SELECT CustomerName, ContactName
  3. FROM Customers
  4. WHERE Country = 'Brazil';
复制代码
查询视图:
  1. SELECT * FROM [Brazil Customers];
复制代码
示例 2: 创建高于平均价格的产品视图
  1. CREATE VIEW [Products Above Average Price] AS
  2. SELECT ProductName, Price
  3. FROM Products
  4. WHERE Price > (SELECT AVG(Price) FROM Products);
复制代码
查询视图:
  1. SELECT * FROM [Products Above Average Price];
复制代码
更新视图

使用CREATE OR REPLACE VIEW语句可以更新视图。
  1. CREATE OR REPLACE VIEW view_name AS
  2. SELECT column1, column2, ...
  3. FROM table_name
  4. WHERE condition;
复制代码
示例: 向"巴西客户"视图添加"City"列
  1. CREATE OR REPLACE VIEW [Brazil Customers] AS
  2. SELECT CustomerName, ContactName, City
  3. FROM Customers
  4. WHERE Country = 'Brazil';
复制代码
删除视图

使用DROP VIEW语句删除视图。
  1. DROP VIEW view_name;
复制代码
示例: 删除"巴西客户"视图
  1. DROP VIEW [Brazil Customers];
复制代码
SQL注入

SQL注入是一种恶意的代码注入技术,可能会破坏数据库的安全性。它是网络黑客经常使用的一种攻击方式。SQL注入发生在Web页面接受用户输入,并将该输入插入到SQL语句中的情况下,而用户提供的输入不是正常的数据,而是恶意构造的SQL语句。
基本概念

示例 1: 基于1=1的SQL注入

考虑以下代码:
  1. txtUserId = getRequestString("UserId");
  2. txtSQL = "SELECT * FROM Users WHERE UserId = " + txtUserId;
复制代码
如果用户输入的txtUserId是 105 OR 1=1,则构建的SQL语句为:
  1. SELECT * FROM Users WHERE UserId = 105 OR 1=1;
复制代码
这将返回Users表中的所有行,因为 OR 1=1 始终为真。这种注入可能导致访问敏感信息。
示例 2: 基于""=""的SQL注入

考虑用户登录的情况:
  1. uName = getRequestString("username");
  2. uPass = getRequestString("userpassword");
  3. sql = 'SELECT * FROM Users WHERE Name ="' + uName + '" AND Pass ="' + uPass + '"'
复制代码
如果用户输入的uName和uPass是  " or ""=",则构建的SQL语句为:
  1. SELECT * FROM Users WHERE Name ="" or ""="" AND Pass ="" or ""=""
复制代码
这将返回Users表中的所有行,绕过了登录验证。
示例 3: 基于批处理SQL语句的SQL注入

某些数据库支持批处理SQL语句,允许一次执行多个SQL语句。黑客可以尝试通过输入恶意批处理语句来执行危险的操作。
  1. SELECT * FROM Users; DROP TABLE Suppliers
复制代码
这将返回Users表中的所有行,并删除Suppliers表。
防范SQL注入

使用SQL参数

为了防止SQL注入,可以使用SQL参数。SQL参数是在执行时以受控的方式添加到SQL查询中的值。
ASP.NET Razor示例
  1. txtUserId = getRequestString("UserId");
  2. txtSQL = "SELECT * FROM Users WHERE UserId = @0";
  3. db.Execute(txtSQL, txtUserId);
复制代码
在上述示例中,参数在SQL语句中用 @ 标记表示。
示例: 使用参数的其他语言示例

ASP.NET中的SELECT语句
  1. txtUserId = getRequestString("UserId");
  2. sql = "SELECT * FROM Customers WHERE CustomerId = @0";
  3. command = new SqlCommand(sql);
  4. command.Parameters.AddWithValue("@0", txtUserId);
  5. command.ExecuteReader();
复制代码
ASP.NET中的INSERT INTO语句
  1. txtNam = getRequestString("CustomerName");
  2. txtAdd = getRequestString("Address");
  3. txtCit = getRequestString("City");
  4. txtSQL = "INSERT INTO Customers (CustomerName,Address,City) Values(@0,@1,@2)";
  5. command = new SqlCommand(txtSQL);
  6. command.Parameters.AddWithValue("@0", txtNam);
  7. command.Parameters.AddWithValue("@1", txtAdd);
  8. command.Parameters.AddWithValue("@2", txtCit);
  9. command.ExecuteNonQuery();
复制代码
PHP中的INSERT INTO语句
  1. $stmt = $dbh->prepare("INSERT INTO Customers (CustomerName,Address,City)
  2. VALUES (:nam, :add, :cit)");
  3. $stmt->bindParam(':nam', $txtNam);
  4. $stmt->bindParam(':add', $txtAdd);
  5. $stmt->bindParam(':cit', $txtCit);
  6. $stmt->execute();
复制代码
使用参数化查询可以有效防止SQL注入攻击,因为参数将在执行时以安全的方式插入到SQL查询中。
最后

为了方便其他设备和平台的小伙伴观看往期文章:
微信公众号搜索:Let us Coding,关注后即可获取最新文章推送
看完如果觉得有帮助,欢迎 点赞、收藏、关注

来源:https://www.cnblogs.com/xiaowange/p/17874154.html
免责声明:由于采集信息均来自互联网,如果侵犯了您的权益,请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容,谢谢合作!

举报 回复 使用道具