Prepared statement

Prepare ile güvenli sorgu yazmayı öğrenirsin.

Prepared statement ve yer tutucular

Kullanıcı girdisini SQL metnine birleştirmek SQL enjeksiyonuna yol açar. Bunun yerine yer tutucu kullanılır; değerler sürücüye ayrı gönderilir:

// YANLIŞ: "SELECT * FROM uyeler WHERE ad = '" + ad + "'"
row := db.QueryRow("SELECT id FROM uyeler WHERE ad = ?", ad)

Yer tutucu sözdizimi sürücüye göre değişir: MySQL/SQLite ?, PostgreSQL $1, $2.

db.Prepare

Aynı sorgu çok kez çalışacaksa Prepare ile bir kez hazırlanır, sonra farklı değerlerle çalıştırılır:

stmt, err := db.Prepare("INSERT INTO log(mesaj) VALUES(?)")
if err != nil { return err }
defer stmt.Close()
for _, m := range mesajlar {
    if _, err := stmt.Exec(m); err != nil { return err }
}

Hazır ifade de kaynak tutar; işin bitince Close edilir.

Uygulama Güvenli sorgu yaz

query(ad string) (string, []any) fonksiyonu yaz: SQL metni olarak "SELECT id FROM uyeler WHERE ad = ?" ve argüman listesi olarak []any{ad} döndürsün. q, args := query("Ada") ile çağırıp ikisini yazdır.

Örnek çözümü göster

package main

import "fmt"

func query(ad string) (string, []any) {
    return "SELECT id FROM uyeler WHERE ad = ?", []any{ad}
}

func main() {
    q, args := query("Ada")
    fmt.Println(q, args)
}

Kendini test et

PostgreSQL sürücüsünde ikinci parametrenin yer tutucusu hangisidir?
- :2
- %2
- $2
- ?
Cevabı göster

$2 — PostgreSQL numaralı yer tutucular kullanır ($1, $2, ...); MySQL ve SQLite ? kullanır.

Hazırla

stmt, err := db.____("DELETE FROM sepet WHERE id = ?")

Cevabı göster

stmt, err := db.Prepare("DELETE FROM sepet WHERE id = ?")

Güvenli sorgu

?

MySQL/SQLite yer tutucusu
$1

PostgreSQL yer tutucusu
Metin birleştirme

SQL enjeksiyonu riski
stmt.Close

Hazır ifadeyi bırakır

Sıradaki ders: Transaction

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler