SQLクエリのどの部分をパラメータ化することができますか？例えば

Question

が、これは一般的に許可されている：

sql.execute("select * from some_table where some_column=@parameter", parameter=5); 

ではなく、この：

sql.execute("select * from @which_table where some_column=5", which_table="some_table"); 

は、すべての可能な組み合わせをテストしていないた....です：

sql.execute("select @which_column from some_table", which_column="some_column"); 

またはこの：

sql.execute("select some_column*@multiplier from some_table", multipler=5); 

または...

クエリの一部がパラメータ化可能かどうかを判断する一般的なルールは何ですか？また、その理由は何ですか？

（私はこれは、異なる言語の異なるDBエンジンとアダプタに対して異なる答えを持っているかもしれないが、私は一般的な傾向があることに気づいたことを実現）

Answer 1

識別子とキーワードは、パラメータ化されません。これには含まれています：

• 列名
• 表名
• スキーマ名
• データベース名
• 演算子
• キーワード

基本的な考え方は、ということである関数名をクエリコンパイルされたバージョンにはパラメータがあります。上記の要素のいずれかが見つからない場合、クエリはコンパイルできません。

Answer 2

クエリではパラメータ化可能ですが、実行時には何もできません。あなたはこのように設定した場合： @sql =

だからを+ @column + 'から '+ @table +' '

EXEC（@sql）

あなたはパラメータ化することができ、すべてを' 選択'最初にSQL文を作成し、その後にSQL文を実行する必要があります。それが私が通常やる方法です。要するに