SQL 预处理

SQL 预处理 （也叫预编译语句 ）是数据库执行 SQL 的一种安全、高效 的执行方式。它的核心原理是：先把 SQL 语句的「结构 / 模板」发送给数据库编译，再把「数据」单独发送过去，让数据库把数据填充到编译好的模板中执行。

以下从「安全、性能、易用性」三个维度，用通俗易懂的语言 + 实例讲解预处理的作用，结合你熟悉的 Qt + MySQL 场景展开。

---

一、核心作用 1：彻底杜绝 SQL 注入攻击（最关键）

这是预处理最核心、最不可替代的作用，直接关系到数据库安全。

1. 先理解：什么是 SQL 注入？

如果不用预处理，直接拼接 SQL 字符串传递参数，攻击者可通过构造恶意参数，篡改 SQL 逻辑，窃取 / 篡改 / 删除数据库数据。

反面例子（拼接 SQL，极易被注入）：

// 危险写法：直接拼接设备SN到SQL中
QString deviceSn = "sn456' OR 1=1 --"; // 攻击者构造的恶意参数
QString sql = QString("SELECT * FROM workdata WHERE DeviceSn = '%1'").arg(deviceSn);
// 最终生成的SQL：SELECT * FROM workdata WHERE DeviceSn = 'sn456' OR 1=1 --'
// 后果：OR 1=1 让条件永远成立，-- 注释掉后续内容，攻击者能查询到所有设备数据！

预处理的解决方案：

预处理将「SQL 逻辑」和「参数数据」完全分离 ------ 数据库服务器会把 ? 占位符对应的参数视为「纯数据」，而非「SQL 指令」，即使参数包含恶意字符，也只会作为普通字符串处理。

// 安全写法：预处理 + 占位符
QString sql = "SELECT * FROM workdata WHERE DeviceSn = ?";
query.prepare(sql);
query.addBindValue("sn456' OR 1=1 --"); // 恶意参数被视为纯字符串
// 最终执行逻辑：仅查询 DeviceSn 等于 "sn456' OR 1=1 --" 的数据（无匹配结果），完全无风险

2. 底层原理（为什么预处理能防注入？）

• 普通拼接 SQL ：参数和 SQL 语句混合在一起，数据库服务器无法区分「指令」和「数据」，会把恶意参数中的 OR 1=1 当成 SQL 逻辑执行；
• 预处理 SQL ：
  1. 第一步（预编译）：把包含 ? 占位符的 SQL 发送给数据库，服务器先编译「SQL 逻辑骨架」（如 SELECT * FROM workdata WHERE DeviceSn = ?），确定执行计划；
  2. 第二步（传参数）：单独发送参数数据，服务器仅将参数填充到骨架中，不会重新解析 SQL 逻辑 ，恶意参数中的 '/OR/-- 等只会作为字符串的一部分。

3. 注入攻击的严重后果（必须重视）

• 窃取数据：攻击者可查询到所有设备的敏感运行数据；
• 篡改数据：修改设备的电压 / 电流数值，导致上位机展示错误数据；
• 删除数据：构造 '; DROP TABLE workdata; -- 等参数，直接删除整张表；
• 提权攻击：通过注入获取数据库管理员权限，控制整个数据库。

---

二、核心作用 2：提升重复查询的执行效率

对于重复执行、仅数据不同的 SQL（比如批量插入、循环查询）：

• 普通 SQL：每次都要重新编译、解析、优化
• 预处理：只编译一次，后续只传数据，重复使用编译结果，性能提升明显。

1. 普通 SQL 的执行流程（每次都要编译）

发送 SQL → 数据库解析 SQL → 编译生成执行计划 → 执行 → 返回结果
发送 SQL → 数据库解析 SQL → 编译生成执行计划 → 执行 → 返回结果
...（重复编译，浪费资源）

2. 预处理 SQL 的执行流程（仅编译一次）

第一步（预编译）：发送带?的SQL → 解析 → 编译执行计划（仅做一次）
第二步（传参数）：发送参数1 → 执行 → 返回结果
                发送参数2 → 执行 → 返回结果
                ...（跳过解析/编译，直接执行）

3. 实战对比（以批量插入设备数据为例）

• 普通写法：插入 1000 条数据，数据库需要解析 + 编译 1000 次 SQL，耗时约 500ms；
• 预处理写法：仅解析 + 编译 1 次 SQL，后续仅传参数，耗时约 50ms（效率提升 10 倍）。

Qt 中批量插入的预处理示例：

QString insertSql = "INSERT INTO workdata (DeviceSn, timestamp, voltage) VALUES (?, ?, ?)";
query.prepare(insertSql); // 仅预编译一次

// 循环绑定参数，批量执行
for (int i = 0; i < 1000; i++) {
    query.addBindValue(QString("sn%1").arg(i));
    query.addBindValue(QDateTime::currentMSecsSinceEpoch());
    query.addBindValue(220.0 + i%10);
    query.addBatchBindValue(); // 添加批量参数
}
query.execBatch(); // 一次性执行所有参数，效率极高

---

三、核心作用 3：简化类型转换，提升代码健壮性

预处理会自动处理「编程语言类型」和「数据库类型」的适配，无需手动转义 / 转换，减少编码错误。

1. 自动处理特殊字符转义

比如参数中包含单引号（如设备 SN 是 sn'456），普通拼接会导致 SQL 语法错误，预处理会自动转义：

// 普通拼接：生成的SQL会报错（单引号未转义）
QString sql = "SELECT * FROM workdata WHERE DeviceSn = 'sn'456'"; // 语法错误

// 预处理：自动转义单引号，无需手动处理
query.addBindValue("sn'456"); // 数据库自动处理为 'sn\'456'，语法正确

2. 自动适配数据类型

Qt 中 qint64 类型的时间戳、double 类型的电压值，预处理会自动转换为 MySQL 的 BIGINT/DOUBLE 类型，无需手动拼接字符串或转换格式：

qint64 timestamp = 1773972085000;
double voltage = 220.5;

// 预处理：直接绑定，类型自动适配
query.addBindValue(QVariant(static_cast<qlonglong>(timestamp)));
query.addBindValue(voltage);

// 普通拼接：需手动转为字符串，易出错
QString sql = QString("INSERT INTO workdata VALUES ('sn456', %1, %2)").arg(timestamp).arg(voltage);

---

四、预处理的使用场景

场景	是否必须用预处理	原因
查询 / 插入 / 更新包含外部参数（如用户输入、设备 SN）	必须	防注入是底线，无论参数是否可控
静态 SQL（无参数，如建表 CREATE TABLE ...）	可选	无参数，无需防注入，直接 exec() 即可
重复执行相同逻辑的 SQL（如批量插入 / 循环查询）	推荐	提升效率，减少数据库开销
参数包含特殊字符（如单引号、空格、emoji）	推荐	自动转义，避免语法错误

---

总结（核心要点）

1. 安全第一：预处理是防范 SQL 注入的「唯一可靠手段」，任何包含外部参数的 SQL 都必须用预处理，这是数据库安全的底线；
2. 性能优化：重复执行相同逻辑的 SQL 时，预处理跳过解析 / 编译步骤，效率提升显著；
3. 易用性提升：自动处理类型转换和特殊字符转义，减少编码错误，让代码更健壮。

预处理是必须掌握的核心技能 ------ 既保护设备数据不被窃取 / 篡改，又能提升批量数据入库、高频查询的效率，是 Qt + MySQL 开发的「最佳实践」。