SQL合并字符串最佳实践 各类字符拼接函数性能分析

group_concat_max_len

-- 使用CONCAT()函数
SELECT CONCAT('Hello', ' ', 'World');

-- 使用CONCAT_WS()函数，指定分隔符为空格
SELECT CONCAT_WS(' ', 'Hello', 'World');

-- 使用GROUP_CONCAT()函数，合并同一个订单的所有商品名称
SELECT order_id, GROUP_CONCAT(product_name) AS products
FROM order_items
GROUP BY order_id;

-- 修改group_concat_max_len系统变量
SET group_concat_max_len = 10240; -- 设置为10240个字符

-- 使用+号拼接字符串
SELECT 'Hello' + ' ' + 'World';

-- 使用CONCAT()函数拼接字符串
SELECT CONCAT('Hello', ' ', 'World');

-- 使用STRING_AGG()函数，合并同一个订单的所有商品名称
SELECT order_id, STRING_AGG(product_name, ',') WITHIN GROUP (ORDER BY product_name) AS products
FROM order_items
GROUP BY order_id;

WITHIN GROUP (ORDER BY ...)

-- 使用||操作符拼接字符串
SELECT 'Hello' || ' ' || 'World';

-- 使用CONCAT()函数拼接字符串
SELECT CONCAT('Hello', ' ', 'World');

-- 使用string_agg()函数，合并同一个订单的所有商品名称
SELECT order_id, string_agg(product_name, ',' ORDER BY product_name) AS products
FROM order_items
GROUP BY order_id;

ORDER BY

-- 错误的示例：直接拼接用户输入
-- 存在SQL注入风险
DECLARE @username VARCHAR(50) = 'user';
DECLARE @password VARCHAR(50) = 'password';
DECLARE @sql VARCHAR(MAX) = 'SELECT * FROM users WHERE username = ''' + @username + ''' AND password = ''' + @password + '''';
EXEC(@sql);

-- 正确的示例：使用参数化查询
-- 安全
DECLARE @username VARCHAR(50) = 'user';
DECLARE @password VARCHAR(50) = 'password';
EXEC sp_executesql N'SELECT * FROM users WHERE username = @username AND password = @password',
                   N'@username VARCHAR(50), @password VARCHAR(50)',
                   @username = @username,
                   @password = @password;