如何验证SQL存储过程输入参数_添加强校验逻辑提升健壮性-SQL-PHP中文网

sql server中需用is null or ltrim(rtrim(@param)) = ''判断空值与null；pg用raise exception校验；mysql须用signal；oracle需显式if+raise_application_error；跨库迁移需注意函数名及错误机制差异。

如何验证sql存储过程输入参数_添加强校验逻辑提升健壮性

SQL Server 存储过程中怎么判断 `@param` 是空值还是 NULL？

SQL Server 里 IS NULL 和 = '' 必须分开处理，因为 NULL 不等于任何东西（包括自己），'' 是空字符串，二者语义完全不同。常见错误是只写 IF @param = ''，漏掉 NULL 分支，导致校验失效。

NULL 来源很杂：前端没传、调用时省略参数、甚至 EXEC proc_name 没带参数都会让 @param 变成 NULL
建议统一用 IS NULL OR LTRIM(RTRIM(@param)) = '' 判断“无效输入”，LEN(LTRIM(RTRIM(@param))) = 0 也行，但注意 LEN(NULL) 返回 NULL，得先用 ISNULL 包一层
如果参数类型是 INT 或 DATETIME，直接用 IS NULL 就够了；别对数字字段做 = ''，会触发隐式转换报错 Conversion failed when converting the varchar value '' to data type int.

PostgreSQL 的 `CREATE OR REPLACE FUNCTION` 怎么加参数校验？

PostgreSQL 没有类似 SQL Server 的 RAISERROR，得靠 RAISE EXCEPTION 主动中断执行。而且函数体里不能用 IF EXISTS (SELECT ...) 这种写法去查表——它不是存储过程，是函数，必须返回值，校验逻辑要嵌在 BEGIN ... END 块里。

开头就写 IF $1 IS NULL OR trim($1) = '' THEN RAISE EXCEPTION 'param1 cannot be null or empty'; END IF;，$1 是位置参数引用，比命名参数更稳定
避免在 RAISE EXCEPTION 里拼接用户输入，防止 SQL 注入；如需提示具体值，用 USING HINT = 'got: ' || coalesce($1, 'NULL')
函数定义里加 STRICT 属性（如 CREATE FUNCTION f(text) RETURNS text STRICT AS ...）可自动拦截 NULL 输入，但只对整个参数生效，不支持自定义错误信息

MySQL 存储过程里 `DECLARE CONTINUE HANDLER` 能捕获参数校验失败吗？

不能。这个 handler 只响应运行时异常（比如除零、主键冲突、类型转换失败），不响应你写的 IF ... THEN SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = 'xxx' 以外的逻辑判断。想让校验失败走统一错误路径，必须手动 SIGNAL。

MySQL 5.5+ 才支持 SIGNAL，老版本只能靠 SELECT 抛错（比如 SELECT CAST('invalid param' AS UNSIGNED)），但错误码不可控、堆栈不清晰
SIGNAL SQLSTATE '45000' 是通用错误码，客户端能识别；别用 'HY000' 这类系统保留码，可能和底层错误混淆
校验多个参数时，别堆一个超长 IF，拆成独立 IF 块，每个块 SIGNAL 不同消息，方便定位哪一关没过

Oracle PL/SQL 中 `NOT NULL` 约束对输入参数有用吗？

没用。PL/SQL 过程/函数的参数声明里的 NOT NULL 只是编译期提示，不阻止运行时传入 NULL。真正起作用的是显式检查 + RAISE_APPLICATION_ERROR。

写 PROCEDURE p(p_id IN NUMBER NOT NULL) 看似保险，但调用时 p(NULL) 依然成功，p_id 在过程体内就是 NULL
必须写 IF p_id IS NULL THEN RAISE_APPLICATION_ERROR(-20001, 'p_id required');
错误号建议用 -20001 到 -20999 范围，这是 Oracle 预留的用户自定义错误区间；低于 -20000 是系统错误，可能被误判