站长速成：30分钟精通MSSQL核心查询实战

　　跟人吵架——产品昨天下午四点十七分，把需求文档钉钉发我，标题叫《站长速成：30分钟精通MSSQL核心查询实战》，正文第一行写着“适配所有官网/后台系统/H5”，第三行说“小白站长零基础上手”，第五行补了句“含SQL注入防护教学”。我当场把控制台里刚跑通的 `SELECT TOP 100 FROM sys.dm_exec_sessions WHERE is_user_process = 1` 结果截图发他，下面回了一句：“你这查的是自己连没连上，不是查数据。”

　　他坐在对面工位，保温杯还冒着热气，杯沿沾着一圈浅褐色茶渍。我键盘上Q键去年掉漆后一直没换，按下去有微顿——那会儿正调试一个拼接动态SQL的存储过程，`@sql = 'SELECT ' + @cols + ' FROM ' + @table + ' WHERE ' + @where`，结果`@where`里混进了用户输入，又没走sp_executesql参数化，第二天凌晨三点报警邮件炸出来，DBA在群里@所有人，“你们谁在`[站点配置]`表里`UPDATE SET value = '1; DROP TABLE [用户登录日志];--' WHERE id = 1`？”——我写的。不是我干的。是那个所谓“30分钟速成”的在线SQL练习框自动填充的演示代码。

　　先扔结论后补细节：这个“速成”根本不是教查询，是教怎么在不报错的前提下，让SQL看起来像执行成功了。它让你写`SELECT FROM Users WHERE username LIKE '%'+@input+'%'`，然后配一段小字：“建议使用全文索引提升性能”——可全文索引早被你们删了，上个月清理“冗余模块”时顺手把`[站点搜索索引]`库整个DROP了，现在所有LIKE都走全表扫，`SELECT COUNT() FROM Orders WHERE order_date > '2023-01-01'` 在1700万行里跑14秒，但练习页底部弹窗还显示“执行成功 ✅（耗时：0.82s）”，那是mock的，mock脚本藏在`/mock/sql-result.js`第37行，硬return的`{elapsed: 0.82, rows: 42}`。

　　会议室白板没擦干净，底下压着上季度OKR——“Q3落地站长自助分析能力”，上面“自助”两个字被人用黑笔圈了三次。有人端着杯子站了很久，在等我调完那个死锁的SP：`usp_SyncSiteConfig`，它在事务里先UPDATE再SELECT，又去查`[站点监控快照]`视图，而那个视图底层嵌套了三个WITH子句加一个UDF，UDF里还调了`xp_cmdshell`去读IIS日志……产品站那儿说：“用户反馈‘页面卡’，你赶紧优化下。”我敲`DBCC OPENTRAN`，回车，看到SPID=58挂着，`log_record_count = 32671`，再查`sys.dm_exec_requests`，blocking_session_id = 58——自产自销。

文章配图，仅供参考

　　工位的显示器是竖着的，方便看长SQL执行计划。上周五我盯着`Missing Index Details`提示看了四小时，说在`[订单明细]`表的`order_id + sku_id`列上建非聚集索引能省87%成本，我建了，第二天早上发现`INSERT INTO [订单明细]`慢了三倍——因为那个“速成课”附带的CMS导入脚本，批量插数据时默认开了`SET IDENTITY_INSERT ON`，又忘了关，触发器全开，每个INSERT后面跟着三个UPDATE，更新`[商品库存]`、`[分销返佣]`、`[积分流水]`，新索引全成了累赘。构建日志最后一行是：`npm run sql-migrate -- --env=prod --confirm`，我回车前停了七秒，因为上一次`--confirm`执行后，生产库里`[文章分类]`表的`category_name`字段被改成NOT NULL，导致三百多个草稿直接500。

　　谁在背后走过碰了椅子，声音很脆。外卖到了没人去拿，塑料袋挂门把手上晃了一小时。我不屑——不是不屑这个“速成”，是不屑那种“写一句SELECT就能管住所有数据”的幻觉。`sys.dm_db_missing_index_groups`告诉你缺什么索引，`sys.dm_exec_query_stats`告诉你哪个plan_cache缓存了八百个相同语句不同参数的execution plan，`SQL Server Profiler`抓包里明晃晃躺着`exec sp_executesql N'SELECT FROM Articles WHERE status = @p1 AND site_id = @p2', N'@p1 int,@p2 int', @p1=1, @p2=347`，而`@p2`值是前端JS硬拼进fetch URL的，后端只做parseInt()——连`TRY_PARSE()`都没裹一层。这种东西也敢叫“精通”？精通的是怎么让报错延迟到用户导出Excel时才炸，而不是炸在第一步。

　　去年10月，到底发生了什么？客户要上线“站长自主运营仪表盘”，我们连夜把Power BI报表嵌进后台iframe，URL参数带token过期时间。结果客户用Chrome 92打开，cookie samesite=Lax，token传不过去；用Edge 110打开，iframe被sandbox策略拦住；最后切到IE11——它根本不认识`JSON.stringify({data:[{id:1,name:'a'}]})`里那个尾随逗号，整页白屏。我们修到凌晨两点，不是改SQL，是把生成JSON的C#代码里`new JsonSerializerOptions { WriteIndented = true }`换成`false`，就为删掉那个逗号。你猜“30分钟精通”里有没有提`JSON.parse()`在旧引擎里的兼容性边角？没有。它只教你`SELECT JSON_QUERY(config, '$.theme') FROM SiteSettings`，然后标红一行：“返回格式为标准JSON”。标准？谁定的标准？RFC 7159？还是客户那个IE11里只能跑JQuery 1.12.4的服务器？

　　技术锚点不是彩蛋，是创口贴。我刚删了`_legacy_sql_helper.js`里三处`eval('(' + xhr.responseText + ')')`，替换成`JSON.parse()`，但留了注释：// 因为客户CMS的“快捷查询面板”仍依赖此方式加载动态WHERE条件，2023年前写的，没文档，没测试用例，没人敢动。控制台报错堆栈里还躺着它，第7层是`at parseCondition (legacy_sql_helper.js:212)`。这玩意儿比我们项目里的SQL Server版本还老。

　　下一步？我把那个“30分钟速成”练习页的``换成本地`/sql-debug.html`，把所有动态SQL执行逻辑劫持进`window.__sqlRunner`，加上实时EXPLAIN PLAN解析、参数类型校验、执行时长阈值拦截。做完之后，把链接发给产品，加一句：“试试输`'; DROP TABLE [站点访问统计];--`，看它报错还是跳转到404。”至于能不能上线？不归我管。我只管让它执行的时候，至少报错得像个真的SQL Server错——比如“消息 208，级别 16，状态 1，第 1 行 对象名 '站点访问统计' 无效。”

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!