Parametrisierte SQL-WHERE-Klausel aus Filtern erstellen

Jeder Feldname wird als SQL-Bezeichner in Anführungszeichen gesetzt, bei qualifizierten Namen auch jedes einzelne Segment, während die Werte außerhalb des SQL-Texts bleiben. Die Filter behalten ihre ursprüngliche Reihenfolge und werden mit AND verknüpft. Dadurch ist das Ergebnis für Query-Builder, Verwaltungswerkzeuge, Berichtsansichten und Endpunkte, die Filter bereits als Daten erfassen, zuverlässig vorhersehbar.

Erstellen Sie SQL-Strukturen ohne verkettete Werte

Dynamische Suchmasken beginnen oft mit scheinbar harmlosen Datensätzen aus Feld, Operator und Wert. Gefährlich wird es, wenn diese Datensätze durch direktes Einfügen des Werts in eine Zeichenkette zu SQL werden. Dieser Generator trennt Struktur und Daten. Er liefert eine parametrisierte SQL-WHERE-Klausel mit Positionsparametern im PostgreSQL-Stil wie $1 und $2 sowie ein params-Array in exakt passender Reihenfolge. Fügen Sie die Klausel in eine größere SELECT-, UPDATE- oder DELETE-Anweisung ein und übergeben Sie params an einen kompatiblen Datenbanktreiber. Der Generator führt keine Abfrage aus, stellt keine Datenbankverbindung her, untersucht kein Schema und entscheidet nicht, welche Spalten ein Aufrufer verwenden darf. Wenn Benutzer Feldnamen beeinflussen können, muss Ihre Anwendung weiterhin eine Positivliste führen. Das Quoting verhindert, dass Satzzeichen oder reservierte Wörter die Syntax beschädigen; für die Berechtigung bleibt jedoch Ihre Anwendung zuständig. Da die Filter in der gelieferten Reihenfolge mit AND verbunden werden, ist die Ausgabe stabil und lässt sich einfach protokollieren, vergleichen oder mit einem festen Abfragepräfix kombinieren.

Verstehen Sie Operatoren, Parameter und Nullprüfungen

Unterstützt werden Gleichheit, Ungleichheit, Größenvergleiche, LIKE, NOT LIKE, IN, NOT IN, IS NULL und IS NOT NULL. Der Operatortext wird in Großbuchstaben normalisiert und mehrfacher Leerraum zusammengefasst, sodass eine Eingabe wie „not like“ kanonisches SQL ergibt. Jeder gewöhnliche Vergleich verbraucht einen Parameter. IN und NOT IN verlangen ein nicht leeres Array und erweitern es unter Wahrung der Reihenfolge zu einem Platzhalter je Element. Nulloperatoren verbrauchen keinen Parameter und benötigen keinen Wert, weil ihre SQL-Grammatik keinen Platzhalter enthält. Fehlt bei einem anderen Operator der Wert, wird die Eingabe abgelehnt, statt unvollständiges SQL zu erzeugen. Akzeptiert werden skalare JSON-Werte einschließlich Zeichenketten, Zahlen, boolescher Werte und null; Arrays sind den beiden Listenoperatoren vorbehalten. Die Ausgabe verwendet bewusst nummerierte Dollar-Platzhalter, die zu PostgreSQL und kompatiblen Bibliotheken passen. Nutzt Ihr Treiber Fragezeichen oder benannte Parameter, passen Sie die Syntax in einem kontrollierten Adapter an und bewahren Sie dabei die zurückgegebene Reihenfolge.

Quoten Sie Bezeichner und prüfen Sie Ihre Richtlinien

Jedes Feld wird als möglicherweise qualifizierter Bezeichner behandelt. Ein Name wie users.created_at wird zu zwei separat gequoteten Segmenten; ein enthaltenes doppeltes Anführungszeichen wird gemäß den üblichen SQL-Regeln verdoppelt. Leere Namen und leere, durch Punkte getrennte Segmente werden abgelehnt. So kann eine Feldzeichenkette nicht mit ungequoteter SQL-Syntax verwechselt werden. Das bedeutet jedoch nicht, dass alle Datenbanksysteme identische Quoting-Regeln besitzen. Prüfen Sie insbesondere bei Systemen ohne doppelte Anführungszeichen die Kompatibilität mit Ihrer Zieldatenbank. Zudem ist Maskierung keine Berechtigung. Wenn ein externer Aufrufer Felder auswählt, ordnen Sie öffentliche Filterschlüssel vor dem Generatoraufruf einer ausdrücklich erlaubten Menge realer Spalten zu. Wenden Sie ebenso fachliche Regeln auf Operatoren an: Ein Berichts-Endpunkt kann Gleichheit und Bereiche erlauben, aber Mustersuchen trotz verfügbarer LIKE-Unterstützung verweigern. Jeder unbekannte SQL-Operator führt zu einem klaren Eingabefehler, anstatt fremde Syntax durchzureichen. Die Funktion arbeitet deterministisch, sendet keine Netzwerkanfragen und gibt ausschließlich Klausel und Parameter zurück.