为什么我不能在 Postgresql 中使用数字或日期类型输入 NULL 值？

Question

我正在为这项工作做一个小申请，其中包括一个表格。当使用表单的人没有在数据类型“数字”（比如说 PIN 码）中输入值，甚至没有在我的“日期”数据类型字段之一中输入日期（比如说他的周年纪念日）时，它会返回给我错误如下：

错误类型 – 错误类型 _用于 ODBC 驱动程序的 Microsoft OLE DB 提供程序 (0x80004005)_ 错误：数字类型的输入语法无效：“”；执行查询时出错

错误类型 – 错误类型 _用于 ODBC 驱动程序的 Microsoft OLE DB 提供程序 (0x80004005)_ 错误：“)”处或附近的语法错误；执行查询时出错

所以看起来当使用表单的人什么都不输入时，它返回字符串“empty”，即“”。 为什么数字类型和数据类型不能将其读取为 NULL 条目？这些字段不是强制性的，因此有时我需要将它们留空。

我怎样才能使它成为可能？他们是一种继续使用“数字”和“日期”类型的方法，以便当用户在这些字段中不输入任何内容时，表格会填充一个空白大小写，指示给我这个错误？

这是我的sql语句：

trsConn.EXECUTE "INSERT INTO ""TRS"".employeetbl ( "& _
  """firstName"", " & _  
  """lastName"" , " & _  
  """detContract"", " & _  
  "sle, " & _  
  """posNumber"" "& _  
  ") VALUES (" & _  
  "'" & Request.Form("empFirst") & "', " & _**  
  "'" & Replace(Request.Form("empLast"), "'", "`") & "', " & _  
  "'" & Request.Form("dateContract") & "', " & _
  "'" & Request.Form("sle") & "', " & _  
  "'" & Request.Form("posNum") & "');"  

（posNum 和 dateContract 分别属于“numeric”和“date”类型

非常感谢您的帮助。期待听听各位天才的说法。

Answer 1

The concept of NULL in SQL is pretty muddled and inconsistent ... 但很明显'' 与NULL 不同。

'' 不是NULL，而是''，空字符串。您不能将其转换为日期、数字等：

regress=# SELECT CAST('' AS DATE);
ERROR:  invalid input syntax for type date: ""
LINE 1: SELECT CAST('' AS DATE);
                    ^
regress=# SELECT CAST('' AS NUMERIC);
ERROR:  invalid input syntax for type numeric: ""
LINE 1: SELECT CAST('' AS NUMERIC);
                    ^

一些产品——尤其是 Microsoft Access 和旧版本的 MySQL——对这个问题感到困惑。 NULL 为 NULL，'' 为空字符串；他们不是一回事。您不能将一个转换为另一个。

所以看起来，当使用表单的人什么都不输入时，它 返回字符串“empty”，即“”。为什么数字类型不能和 数据类型读取为 NULL 条目？这些字段不是强制性的 所以我需要让它们有时是空白的。

这是您的应用程序的工作。当您的应用程序看到空字符串出现在数字、日期或类似的表单字段中时，它应该将NULL 发送到数据库，而不是''。这通常是在将数据提供给数据库之前从用户输入转换数据的常规部分。您进行这种转换是至关重要的；你不应该只是将用户的值直接发送到数据库。

快速搜索表明 asp classic 使用 null 或 undefined 作为其空值；当某些内容为空时，您应该能够将它们传递到您准备好的语句中。

在出现关于'' 的错误之后出现语法错误这一事实表明，您将SQL 语句构建为字符串，而不是使用prepared statements with placeholders。 （感谢 JayC 的 SO 问题参考）。这是乞求SQL injection；换句话说，您的应用程序极度不安全。想象一下如果用户输入“日期”会发生什么：

2012-01-01'); DROP SCHEMA public;--

你的应用程序很乐意将其变成

INSERT INTO sometable (blah, blah, blah) VALUES (1, 2, DATE '2012-01-01'); DROP SCHEMA public;--');

DROP SCHEMA 然后愉快地执行，哎呀，啪，你的数据库到了。这也是最愚蠢、最简单的一种 SQL 注入攻击。