Werte von der SQL-Syntax trennen
Eine Abfrage kombiniert häufig feste Anweisungen mit Werten aus einem Formular, einer Workflow-Eingabe oder einem früheren Datenbankergebnis. Erstellen Sie den SQL-Text mit Platzhaltern und übergeben Sie die zugehörigen Werte in `params`. So bleibt ein Wert ein Datum und wird nicht als SQL-Syntax behandelt; zugleich sinkt das Risiko von Fehlern durch Anführungszeichen oder Maskierung.
Verwenden Sie denselben Ansatz für Lese- und Schreibvorgänge: SQL Database akzeptiert `{ sql, params }` für Leseabfragen; execute-Vorgänge nehmen `action: "execute"` mit `sql` und `params` entgegen. Parameter stehen für Werte, nicht Tabellen- oder Spaltennamen. Bezeichner und Abfragestruktur müssen ausdrücklich im SQL festgelegt werden.
Anweisung und Ergebnis prüfen
Verwenden Sie das vom verbundenen Datenbankdienst erwartete Parameterformat und übergeben Sie Werte in der Reihenfolge der Platzhalter. Ein Parameter kann nicht automatisch einen Tabellen-, Spaltennamen oder ein SQL-Schlüsselwort ersetzen. Wählen Sie die Struktur bewusst und halten Sie variable Daten in Parametern.
Prüfen Sie bei einer Leseabfrage die zurückgegebenen Zeilen und den Filter. Kontrollieren Sie bei execute je nach Vorgang Zeilen, Änderungen oder lastRowId. Könnte ein Schreibvorgang alle Zeilen betreffen, fügen Sie bewusst eine WHERE-Bedingung hinzu; unbegrenzte Aktualisierungen und Löschungen verlangen `all: true`.