Escapezeichenfolge in SQL Server, damit die Verwendung im LIKE-Ausdruck sicher ist

Wie kann ich eine Zeichenfolge in der gespeicherten Prozedur von SQL Server maskieren, damit sie sicher im LIKEAusdruck verwendet werden kann ?

Angenommen, ich habe eine NVARCHARVariable wie folgt:

declare @myString NVARCHAR(100);

Und ich möchte es in einem LIKEAusdruck verwenden:

... WHERE ... LIKE '%' + @myString + '%';

Wie kann ich die Zeichenfolge (insbesondere Zeichen, die für den LIKEMustervergleich von Bedeutung sind, z. B. %oder ?) in T-SQL umgehen, damit die Verwendung auf diese Weise sicher ist?

Zum Beispiel gegeben:

@myString = 'aa%bb'

Ich will:

WHERE ... LIKE '%' + @somehowEscapedMyString + '%'

zu passen 'aa%bb', 'caa%bbc'aber nicht 'aaxbb'oder 'caaxbb'.

Um Sonderzeichen in einem LIKE-Ausdruck zu maskieren, müssen Sie ihnen ein Escapezeichen voranstellen. Sie können auswählen, welches Escape-Zeichen mit dem ESCAPE-Schlüsselwort verwendet werden soll. ( MSDN Ref )

Dies entgeht beispielsweise dem% -Symbol und verwendet \ als Escape-Zeichen:

select * from table where myfield like '%15\% off%' ESCAPE '\'

Wenn Sie nicht wissen, welche Zeichen in Ihrer Zeichenfolge enthalten sind und Sie sie nicht als Platzhalter behandeln möchten, können Sie allen Platzhalterzeichen ein Escapezeichen voranstellen, z.

set @myString = replace( 
                replace( 
                replace( 
                replace( @myString
                ,    '\', '\\' )
                ,    '%', '\%' )
                ,    '_', '\_' )
                ,    '[', '\[' )

(Beachten Sie, dass Sie auch Ihrem Fluchtzeichen entkommen müssen, und stellen Sie sicher, dass dies das Innere ist, replacedamit Sie nicht den aus den anderen replaceAnweisungen hinzugefügten entkommen .) Dann können Sie so etwas verwenden:

select * from table where myfield like '%' + @myString + '%' ESCAPE '\'

Denken Sie auch daran, mehr Platz für Ihre @ myString-Variable zuzuweisen, da diese mit dem Ersetzen der Zeichenfolge länger wird.

Hatte ein ähnliches Problem (mit NHibernate, daher wäre das Schlüsselwort ESCAPE sehr schwierig gewesen) und löste es mit den Klammerzeichen. So würde Ihre Probe werden

WHERE ... LIKE '%aa[%]bb%'

Wenn Sie Beweise benötigen:

create table test (field nvarchar(100))
go
insert test values ('abcdef%hijklm')
insert test values ('abcdefghijklm')
go
select * from test where field like 'abcdef[%]hijklm'
go

Anstatt alle Zeichen in einer Zeichenfolge zu maskieren, die für die Mustersyntax von besonderer Bedeutung sind, da Sie einen führenden Platzhalter im Muster verwenden, ist dies schneller und einfacher.

SELECT * 
FROM YourTable
WHERE CHARINDEX(@myString , YourColumn) > 0

In Fällen, in denen Sie keinen führenden Platzhalter verwenden, sollte der oben beschriebene Ansatz vermieden werden, da kein Index für verwendet werden kann YourColumn.

In Fällen, in denen der optimale Ausführungsplan je nach Anzahl der übereinstimmenden Zeilen variiert, sind die Schätzungen möglicherweise besser, wenn LIKEdie Syntax mit eckigen Klammern im Vergleich zu beidenCHARINDEX und dem ESCAPESchlüsselwort verwendet wird .

Sie geben das Escape-Zeichen an. Dokumentation hier:
http://msdn.microsoft.com/en-us/library/ms179859.aspx

Möchten Sie nach Zeichenfolgen suchen, die ein Escape-Zeichen enthalten? Zum Beispiel möchten Sie dies:

select * from table where myfield like '%10%%'.

Wo möchten Sie mit 10% nach allen Feldern suchen? In diesem Fall können Sie die ESCAPE-Klausel verwenden, um ein Escape-Zeichen anzugeben und das Platzhalterzeichen zu maskieren.

select * from table where myfield like '%10!%%' ESCAPE '!'

Alternative Escape-Syntax:

WIE Wildcard-Literale

Der JDBC-Treiber unterstützt die Syntax {Escape 'Escape Character'} für die Verwendung von LIKE-Klausel-Platzhaltern als Literale.

SELECT *
FROM tab
WHERE col LIKE 'a\_c' {escape '\'};

db <> Geigen-Demo