Prepared Statement

Definition

Prepared Statements sind parametrisierte, vorübersetzte (SQL-)Anweisungen für ein Datenbank-System (DBS).

Bemerkungen

Bei der Erzeugung eines Prepared Statements werden an Stelle von Parameterwerten Platzhalter für die Parameter an das DBS übergeben. Erst beim Aufruf eines Prepared Statements werden Parameterwerte übergeben.

Auf diese Weise können insbesondere SQL-Injection-Attacken vermieden werden, da die dafür nötige Vermischung von SQL- und Hostsprache-Code nicht mehr ohne Weiteres möglich ist.

Darüber hinaus werden die Parameter beim Eintragen zunächst vom DBS auf Gültigkeit geprüft bevor sie verarbeitet werden.

Als angenehmen Nebeneffekt bringen Prepared Statements den Vorteil mit sich, dass durch die Vorverarbeitung der Abfragen eine schnellere Verarbeitung der Abfragen möglich ist.

Quellen

• Ziegler (2007)
• Rütten, Glemser (2006)

Siehe auch

• SQL Injection
• Stored Procedure