Effektives Query

[Der Jan]

Hallo,

ich hab da mal ne prinzipielle Frage. Irgendwo habe ich gelesen, das es effektiver sei, Queries mit Parametern zu nutzen, als das Query direkt aufzubauen. Nur würde ich gerne wissen, was da dran ist...
Nehmen wir als Beispiel mal ne Suche in einer Kundendatenbank.
Ich denk mal, die Variablennamen/Feldnamen etc. sind eindeutig.

Man könnte schreiben (direkt)

Delphi-Quellcode:

sQuery := 'SELECT * FROM KUNDE WHERE ';
blMore := false;
if(edtKundennummer.Text <> '') then begin
  sQuery := sQuery + 'KUNDEID LIKE ' + edtKundenummer.Text + '%';
  blMore := true;
end;
if(edtName.Text <> '') then begin
  if(blMore = true) then
    sQuery := sQuery + 'AND ';
  sQuery := sQuery + 'NAME LIKE ' + edtName.Text + '%';
  blMore := true;
end;
if(edtOrt.Text <> '') then begin
  if(blMore = true) then
    sQuery := sQuery + 'AND ';
  sQuery := sQuery + 'ORT LIKE ' + edtOrt.Text + '%';
  blMore := true;
end;
qryKunde.SQL.Add(sQuery);
qryKunde.ExecSQL;

oder mittels Parameter

Delphi-Quellcode:

sQuery := 'SELECT * FROM KUNDE WHERE ';
blMore := false;
if(edtKundennummer.Text <> '') then begin
  sQuery := sQuery + 'KUNDEID LIKE :KUNDE';
  blMore := true;
end;
if(edtName.Text <> '') then begin
  if(blMore = true) then
    sQuery := sQuery + 'AND ';
  sQuery := sQuery + 'NAME LIKE :NAME';
  blMore := true;
end;
if(edtOrt.Text <> '') then begin
  if(blMore = true) then
    sQuery := sQuery + 'AND ';
  sQuery := sQuery + 'ORT LIKE :ORT';
  blMore := true;
end;
qryKunde.SQL.Add(sQuery);
//mal davon ausgehen, das die Parameter existieren, ist ja nur ein Beispiel :)
qryKunde.ParamByName('KUNDEID').AsString := edtKundenNummer.Text + '%';
//undsoweiter
qryKunde.Prepare;
qryKunde.ExecSQL;

Der Code ist jetzt nur fix zusammengehackt, nur um zu verdeutlichen, was ich meine.

[Bernhard Geyer]

Zitat von Der Jan:

ich hab da mal ne prinzipielle Frage. Irgendwo habe ich gelesen, das es effektiver sei, Queries mit Parametern zu nutzen, als das Query direkt aufzubauen. Nur würde ich gerne wissen, was da dran ist...

Es ist vor allem Sicherer gegenüber SQL-Injection und leichter zu verwenden bei Sonderzeichen.
Effektiver ist es nur wenn du die Queries preparest und mehrmals verwendest. Dann muß nur einmal die Query analysiert werden und ein Abfrageplan erstellt werden.