SQL参数化排序详解
编写一个储存过程usp_GetSortedShippers，它接收Northwind数据库中Shippers表的一个列名称作为其中一个输入（@colname），并从该表返回按输入的列名排序的行。另一个输入（@sortdir）表示排序的方向,‘A’表示按升顺排序,‘D’表示按降序排序。编写该存储过程时要注意它的性能，即，尽可能的使用索引（例如，排序列上的聚集或非聚集覆盖索引）。
代码清单7-4是该任务建议的第一个解决方案
代码清单7-4 参数化排序，解决方案1
USE Northwind;
GO
IF OBJECT_ID('dbo.usp_GetSortedShippers') IS NOT NULL
DROP PROC dbo.usp_GetSortedShippers;
GO
CREATE PROC dbo.usp_GetSortedShippers
@colname AS sysname, @sortdir AS CHAR(1) = 'A'
AS
IF @sortdir = 'A'
SELECT ShipperID, CompanyName, Phone
from dbo.Shippers
ORDER BY
CASE @colname
WHEN N'ShipperID' THEN CAST(ShipperID AS SQL_VARIANT)
WHEN N'CompanyName' THEN CAST(CompanyName AS SQL_VARIANT)
WHEN N'Phone' THEN CAST(Phone AS SQL_VARIANT)
END
ELSE
SELECT ShipperID, CompanyName, Phone
from dbo.Shippers
ORDER BY
CASE @colname
WHEN N'ShipperID' THEN CAST(ShipperID AS SQL_VARIANT)
WHEN N'CompanyName' THEN CAST(CompanyName AS SQL_VARIANT)
WHEN N'Phone' THEN CAST(Phone AS SQL_VARIANT)
END DESC;
GO
该解决方案使用IF语句根据请求的排序方向确定要执行的查询。两个查询的唯一区别是它们的排序表达式不同，一个使用升序，一个使用降序。两个查询都使用CASE表
达式根据输入的列名返回合适的列值。
注意 SQL Server根据表达式的结果中优先级最高的数据类型确定CASE表达式结果的数据类型，而不是按实际返回结果的数据类型确定。这就意味着，如果CASE表达式的一个THEN子句返回VARCHAR(30)值，而另一个返回INT值，表达式的结果将总是INT，
相关文档：
--desc 表名 描述表的内容
desc emp;
--加上数学表达式和列名 ""保持格式
select ename "name space", sal*12 year_sal from emp;
select 2*3 from dual;
select sysdate from dual;
--空值的数学表达式 结果都是空值
select ename, sal*12 + comm from emp;
- ......
--sql structured query language
--DML--Data Manipulation Language--数据操作语言
query information (SELECT),
add new rows (INSERT),
modify existing rows (UPDATE),
delete existing rows (DELETE),
perform a conditional update or insert operation (MERGE),
see an execution plan of SQL (EXPLA ......
存储过程代码：
--drop procedure p_page
--go
create procedure p_page
(
@Tables varchar(1000), --表名如testtable
@PrimaryKey varchar(100),--表的主键,必须唯一性
@Sort varchar(200) = NULL,--排序字段如f_Name asc或f_name desc(注意只能有一个排序字段)
@CurrentPage int = 1,--当 ......
上上个星期，有人反馈，CSDN有SQL注入露洞，汗颜，几年前为SQL注入露洞，部门专门对所有代码做过一次非常大的检查，竟然那次检查还有遗漏的地方。最近这几个星期，就是一直再对代码做再次复查，看有没有SQL注入露洞。
存在SQL注入露洞，就因为你的SQL语句是自己拼� ......
在公共新闻组中，一个经常出现的问题是“怎样才能根据传递给存储过程的参数返回一个排序的输出？”。在一些高水平专家的帮助之下，我整理出了这个问题的几种解决方案。
一、用IF...ELSE执行预先编写好的查询
对于大多数人来说，首先想到的做法也许是：通过IF...ELSE语句，执行几个预先编写好的查询中的一 ......
