mysql 模糊查询参数化

基础概念

MySQL模糊查询是指在SQL语句中使用LIKE关键字进行模糊匹配。参数化查询则是一种防止SQL注入攻击的技术，通过将用户输入作为参数传递给SQL语句，而不是直接拼接在SQL字符串中。

类型

MySQL模糊查询主要有以下几种类型：

单字符匹配：使用_表示单个字符。
单字符匹配：使用_表示单个字符。
多字符匹配：使用%表示任意数量的字符。
多字符匹配：使用%表示任意数量的字符。
正则表达式匹配：使用REGEXP关键字进行正则表达式匹配。
正则表达式匹配：使用REGEXP关键字进行正则表达式匹配。

应用场景

模糊查询常用于以下场景：

搜索功能：用户输入部分关键词，系统返回匹配的结果。
数据验证：验证用户输入是否符合某种模式。
数据统计：根据某些模糊条件进行数据统计和分析。

参数化查询示例

假设我们要实现一个用户搜索功能，用户可以输入部分用户名进行搜索。为了避免SQL注入，我们可以使用参数化查询。

使用Python和MySQL Connector进行参数化查询

import mysql.connector

# 连接数据库
db = mysql.connector.connect(
    host="localhost",
    user="yourusername",
    password="yourpassword",
    database="yourdatabase"
)

cursor = db.cursor()

# 用户输入的搜索关键词
search_keyword = "%admin%"

# 参数化查询
query = "SELECT * FROM users WHERE username LIKE %s"
cursor.execute(query, (search_keyword,))

# 获取查询结果
results = cursor.fetchall()

for row in results:
    print(row)

# 关闭连接
cursor.close()
db.close()

使用Java和JDBC进行参数化查询

import java.sql.*;

public class FuzzySearch {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/yourdatabase";
        String user = "yourusername";
        String password = "yourpassword";

        try (Connection conn = DriverManager.getConnection(url, user, password)) {
            String searchKeyword = "%admin%";
            String query = "SELECT * FROM users WHERE username LIKE ?";

            try (PreparedStatement pstmt = conn.prepareStatement(query)) {
                pstmt.setString(1, searchKeyword);
                ResultSet rs = pstmt.executeQuery();

                while (rs.next()) {
                    System.out.println(rs.getString("username"));
                }
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}