sql模糊查询通过like操作符和通配符实现非精确匹配查找。1. like是核心操作符，常用通配符包括：%（匹配零个或多个字符）、_（匹配单个任意字符）、[]（匹配指定范围字符）、[^]（匹配不在范围内的字符）。2. 避免sql注入应使用参数化查询，将用户输入作为参数传递而非拼接进sql语句。3. 性能优化方面：避免前导%、使用全文索引、考虑近似搜索技术、优化数据库配置及硬件支持。4. 处理大小写敏感问题方法依数据库而异：mysql用lower()/upper()函数统一转换，postgresql使用ilike操作符，sql server通过collate子句设置排序规则实现不区分大小写的查询。掌握这些要点可安全高效地使用模糊查询。
SQL模糊查询，简单来说，就是利用 LIKE 操作符，配合通配符，在数据库中查找符合特定模式的数据。 它不像精确查询那样要求完全匹配，而是允许我们查找包含特定字符串、以特定字符开头或结尾，甚至满足更复杂模式的数据。
LIKE 是 SQL 中进行模糊查询的核心。 它的用法很简单：select * FROM 表名 WHERE 列名 LIKE ‘模式’;。 关键在于这个“模式”，它通常会用到以下几个通配符：
LIKE 操作符的通配符
- % (百分号): 代表零个、一个或多个字符。 比如，’a%’ 可以匹配 ‘a’、’ab’、’abc’，甚至 ‘abcdefg’。
- _ (下划线): 代表一个任意字符。 ‘a_’ 可以匹配 ‘ab’、’ac’，但不能匹配 ‘a’ 或 ‘abc’。
- [] (方括号): (在某些数据库中可用，如 SQL Server) 代表指定范围内的单个字符。 比如 [a-z] 匹配任何小写字母。
- [^] (脱字符): (在某些数据库中可用，如 SQL Server) 代表不在指定范围内的单个字符。 比如 [^a-z] 匹配任何非小写字母的字符。
如何避免 SQL 注入风险？
模糊查询很方便，但如果不小心，容易被 SQL 注入攻击利用。 想象一下，如果用户可以随意输入查询模式，恶意用户可能会构造恶意的 SQL 语句，从而窃取或篡改数据库中的数据。
避免 SQL 注入，最有效的方法就是使用参数化查询或预编译语句。 这种方法会将查询语句和用户输入的数据分开处理，从而避免恶意代码被执行。
例如，在 Java 中使用 JDBC，你可以这样写：
String sql = "SELECT * FROM users WHERE username LIKE ?"; PreparedStatement pstmt = connection.prepareStatement(sql); pstmt.setString(1, "%" + userInput + "%"); // userInput 是用户输入 ResultSet rs = pstmt.executeQuery();
这样，即使 userInput 包含恶意字符，它也会被当作普通字符串处理，而不会被解释为 SQL 代码。
模糊查询性能优化：为什么我的查询这么慢？
模糊查询在数据量大的时候，性能可能会变得很差。 尤其是当 LIKE 语句以 % 开头时，数据库往往无法使用索引，只能进行全表扫描，效率非常低。
那么，如何优化模糊查询的性能呢？
- 避免前导 %: 尽量避免使用 LIKE ‘%关键词%’ 这种模式，因为它会导致全表扫描。 如果必须使用，可以考虑使用全文索引。
- 使用全文索引: 全文索引是一种特殊的索引，专门用于优化文本搜索。 它可以快速找到包含特定关键词的文档，即使关键词出现在字符串的中间或结尾。 不同数据库的全文索引实现方式略有不同，比如 mysql 的 FULLTEXT 索引，PostgreSQL 的 tsvector 和 tsquery。
- 考虑其他搜索技术: 如果对搜索的精确度要求不高，可以考虑使用一些近似搜索技术，比如 Levenshtein 距离算法。 这些算法可以找到与搜索关键词相似的字符串，即使它们不完全匹配。
- 优化数据库配置: 确保数据库的配置是合理的，比如分配足够的内存、调整查询缓存大小等。
- 使用合适的硬件: 如果数据量非常大，可以考虑使用更强大的硬件，比如更快的 CPU、更大的内存、更快的磁盘。
如何处理大小写敏感问题？
默认情况下，SQL 的 LIKE 操作符通常是大小写敏感的。 也就是说，’abc’ 和 ‘ABC’ 会被认为是不同的字符串。 但有时候，我们希望进行大小写不敏感的查询。
不同的数据库处理大小写敏感的方式略有不同。
- MySQL: 可以使用 LOWER() 或 UPPER() 函数将列名和搜索模式都转换为小写或大写，然后再进行比较。 例如：SELECT * FROM users WHERE LOWER(username) LIKE LOWER(‘%关键词%’);
- PostgreSQL: 可以使用 ILIKE 操作符，它是不区分大小写的 LIKE 操作符。 例如：SELECT * FROM users WHERE username ILIKE ‘%关键词%’;
- SQL Server: 可以使用 COLLATE 子句指定排序规则，从而实现大小写不敏感的查询。 例如：SELECT * FROM users WHERE username LIKE ‘%关键词%’ COLLATE Latin1_General_CI_ai; ( CI 表示 Case Insensitive，AI 表示 Accent Insensitive)
选择哪种方法取决于你使用的数据库和具体的需求。 重要的是要理解数据库的大小写敏感规则，并选择合适的方法来处理。
总之，SQL 模糊查询是一个强大的工具，但需要谨慎使用。 了解 LIKE 操作符的用法、避免 SQL 注入风险、优化查询性能、处理大小写敏感问题，才能充分发挥它的作用。
