delphi SQL 自定义参数化

在Delphi中，使用参数化查询可以提高代码的安全性并防止SQL注入攻击。参数化查询的基本流程如下：

1. **设置参数占位符**[^1]:
在SQL语句中使用问号 (?) 或者数据库特定的占位符（如`?` 或 `:param_name`），这些占位符会在执行查询时由实际的参数值替换。

SELECT * FROM Customers WHERE Name = ?;

2. **创建参数数组或变量**:
创建与占位符数量相匹配的参数对象，存储要插入查询的实际值。

var
  ParamValues: array[0..1] of Variant; // 假设我们有两个参数
  ParamValues[0] := 'John Doe'; 
  ParamValues[1] := 'Doe';

3. **执行参数化查询**:
使用`TSQLQuery`的`Prepare`方法准备查询，然后设置参数，最后调用`Execute`方法执行查询。

var
  SQL: string;
begin
  SQL := 'SELECT * FROM Customers WHERE Name = ? AND Age = ?';
  Query.Prepare(SQL);
  Query.Parameters.ParamByName('Name').Value := ParamValues[0];
  Query.Parameters.ParamByName('Age').Value := ParamValues[1];
  Query.Open;
end;

这样做的好处在于，Delphi会自动对输入的参数进行转义，避免了恶意用户构造SQL命令的风险。执行完毕后，记得关闭查询以释放资源。