Руководство по созданию эффективных запросов

Что с внедрением SQL-кода?
Часто за предложением использовать динамический SQL для повышения 
производительности следуют встревоженные взгляды разработчиков: а как 
же внедрение SQL-кода? Ведь все слышали истории об украденных паролях 
и удаленных данных, когда в регистрационной форме вместо даты рожде-
ния кто-то умудрился ввести команду. Действительно, у хакеров есть много 
способов добраться до данных, к которым они не должны получать доступ. 
Однако в случае динамического SQL есть несколько простых правил, которые 
помогают минимизировать возможные риски.
Когда функции получают значения параметров из базы данных напрямую 
(используя идентификаторы), такие значения не могут содержать никаких 
вредоносных конструкций. Значения, полученные в результате ввода данных 
пользователем, должны быть защищены функциями PostgreSQL (
quote_lit-
eral
, 
quote_indent
и т. п. или 
format
). Использование этих функций будет про-
демонстрировано позже в данной главе.
к
ак
 
исПользовать
 
динамический
 sQL 
в
 oLtP-
системах
Часто может быть полезно создать динамический SQL внутри функции и за-
тем выполнить его, а не передавать значения параметров в качестве пере-
менных привязки. В предыдущих главах мы изложили причины повышения 
производительности в таких ситуациях, поэтому давайте перейдем к при-
мерам.
Вспомните запрос из лис тинга 6.6, у которого два критерия выбора: по 
стране аэропорта вылета и по времени последнего обновления бронирова-
ния. В главе 6 мы продемонстрировали, как PostgreSQL изменяет план вы-
полнения в зависимости от конкретных значений этих параметров.
В данной главе мы увидим, что происходит с этим запросом, если он вы-
полняется внутри функции.
Начнем с создания типа возвращаемого значения в лис тинге 12.2.

---

Как использовать динамический SQL в OLTP-системах 
