AI ID 字段的 WHERE 子句中出现意外结果

Question

我的 MySQL 数据库中有一个名为 users 的表，并且多年来我一直在将此数据库与具有 ORM 结构的 Ruby on Rails 应用程序一起使用。该表有id字段，该字段配置为AI（自增），BIGINT。

我的用户表示例；

+----+---------+
| id | name    |
+----+---------+
|  1 | John    |
|  2 | Tommy   |
|  3 | ...     |
|  4 | ...     |
|  5 | ...     |
|  6 | ...     |
+----+---------+

我面临的问题是当我执行以下查询时，我得到了意外的行。

SELECT * FROM users WHERE id = '1AW3F4SEFR';

此查询返回与以下查询完全相同的值，

 SELECT * FROM users WHERE id = 1;

我不知道为什么 SQL 允许我在数据类型 INT 的 WHERE 子句中使用字符串。正如我们从示例中看到的那样，我的数据库将我给出的字符串转换为位置 0 处的整数。我的意思是，我搜索 1AW3F4SEFR 并且我希望不会得到任何结果。但是 SQL 语句返回 id = 1 的结果。

在 Oracle SQL 中，这个完全相同的查询的行为是完全不同的。所以，我相信 MySQL 有一些不同的地方。但我不确定是什么原因造成的。

Answer 1

正如请求 cmets 中所解释的，MySQL 有一种将字符串转换为数字的奇怪方式。它只是从左边获取与数字一样多的字符串，并忽略其余部分。如果字符串不以数字开头，则转换默认为 0。

示例：'123' => 123、'12.3' => 12.3、'.123' => 0.123、'12A3' => 12、'A123' => 0、'.1A1.' => 0.1

演示：https://dbfiddle.uk/?rdbms=mysql_8.0&fiddle=55cd18865fad4738d03bf28082217ca8

MySQL 不会像其他 DBMS 那样在这里引发错误，这很容易导致长时间未被检测到的不需要的查询结果。

解决方案很简单：不要让这种情况发生。不要将数字列与字符串进行比较。如果在某些应用程序中输入了 ID '1AW3F4SEFR'，则在应用程序中引发错误，甚至阻止输入此值。运行 SQL 查询时，请确保传递一个数值，因此“1AW3F4SEFR”甚至无法进入 DBMS。 （查看如何使用准备好的语句并将不同类型的参数传递给您的编程语言中的数据库系统。）

如果由于某种原因您想为 ID 传递一个字符串（但我想不出任何这样的原因）并且希望通过在类似“1AW3F4SEFR”的 ID 的情况下不返回任何行来使您的查询安全，检查ID字符串是否代表查询中的整数值。您可以为此使用REGEXP。

SELECT * FROM users WHERE id = @id AND @id REGEXP '^[0-9]+$';

因此，您只考虑整数 ID 字符串，仍然允许 DBMS 在查找 ID 时使用索引。

演示：https://dbfiddle.uk/?rdbms=mysql_8.0&fiddle=56f8ee902342752933c20b8762f14dbb