对于 Web 应用程序，我想构建一个 WHERE 子句并将其提交给服务器。在那里，我会将其附加到查询中。该子句将类似于
LASTNAME LIKE 'Pep%' AND (DOB BETWEEN '19600101' AND '19601231 OR SALARY<35000)
您能否提出一个正则表达式来在将子句提交到 SQL Server 之前对其进行验证？
（是的，当然，我想要 ORDER 子句的正则表达式）
【问题讨论】：
这是一个非常糟糕的主意。我建议您构建一个过滤系统，而不是用户可以在表单中选择各种选项，然后构建正确的 sql 服务器端，而不是让自己面临各种注入攻击。
作为可能出错的示例，请考虑以下内容：
LASTNAME LIKE 'Pep%'--
DROP TABLE People
--
这会将 DROP TABLE 命令注入到您的 SQL 中，这将很难检测到。您当然可以删除 -- 和 /* 之类的内容，但我保证如果您这样做，有人可以找到方法。
【讨论】：
你不建造
LASTNAME LIKE 'Pep%' AND (DOB BETWEEN '19600101' AND '19601231 OR SALARY<35000)
你构建
LASTNAME LIKE @LastName AND (DOB BETWEEN @dobStart AND @dobEnd OR SALARY<@MaxSalary)
并将这些人作为参数传入。没有正则表达式，不用大惊小怪。
【讨论】：
其他几位评论者指出，允许用户输入来确定 SQL 语法是一个坏主意，并造成了 SQL 注入漏洞。
请注意，评论者对此意见一致，并且 StackOverflow 的总“声誉”超过 14,000！
但撇开这一点不谈，您问的是如何编写正则表达式来匹配任意 SQL 语法。答案是你不能用正则表达式来做到这一点。
在这种情况下，“常规”表示表达式可以匹配某一类输入语言，也可以用deterministic finite state-machine 表示（有点像流程图）。
例如，匹配 SQL 表达式需要做的一件简单事情是能够匹配嵌套括号。你不能设计一个有限的状态机来匹配嵌套括号，因为它需要能够计算你在任何给定点嵌套括号的深度。为此，您需要解析器来实现堆栈，但这是正则表达式无法做到的。
【讨论】：
我想稍微扩展一下 Jimmy 的回答。
LASTNAME LIKE 'Pep%'
那只是邪恶。永远不要这样做。 SQL 字符串应如下所示：
LASTNAME LIKE @LastName + '%'
现在的问题是，在您的情况下，您根本不知道是否需要进行姓氏检查。您所拥有的只是 SELECT 和 FROM 子句以及 lastname 列的文本框，其中可能有也可能没有值。美好的。这仍然不是像第一个例子那样做的借口。您需要做的是像这样构建您的查询（现在使用 C#，因为您没有提供客户端语言）：
//create a place to keep parameters until we can construct the SqlCommand object
List<SqlParameter> params = new List<SqlParameter>();
SqlParameter p;
// the StringBuilder is MUCH more efficient the concatenating strings
// the 1=1 is a placeholder so you can always just append " AND whatever"
StringBuilder sql = new StringBuilder("SELECT ... \nFROM .... \nWHERE 1=1\n");
// Check and add a parameter for the LastName column if needed
if (!String.IsNullOrEmpty(txtLastName.Text))
{
sql.AppendLine("AND LASTNAME LIKE @LastName + '%'");
p = new SqlParameter("@LastName", SqlDbType.VarChar, 50); // use the actual datatype here
p.Value = txtLastName.Text;
params.Add(p);
}
// Check and add a parameter for another field if needed
if (!String.IsNullOrEmpty(txtSomeOtherField.Text))
{
sql.AppendLine("AND OtherField LIKE @OtherParam + '%'");
p = new SqlParameter("@OtherParam", SqlDbType.VarChar, 255);
p.Value = txtSomeOtherField.Text;
params.Add(p);
}
// ... You could also write a method to abstract the code in the if blocks ...
// you haven't told us _how_ the user will specify the order, so I'm leaving that implementation detail out for now
sql.Append(" ORDER BY LastName, OtherField");
// now we can finally get our SQL String and build the (SAFE!) SqlCommand object:
SqlCommand cmd = new SqlCommand(sql.ToString(), YourSqlConnectionObjectHere);
cmd.Parameters.AddRange(params.ToArray());
现在您有了一个动态生成的 where 子句，没有注入的可能性。它之所以有效，是因为发送到数据库的字符串的 每个 部分都是代码中的精确文字，即使这些文字是通过多个步骤组装而成的。参数中使用的值永远不会替换到字符串中，而是作为数据单独发送到服务器。
当然这是 C# (.Net)，但几乎每个现代平台都有某种形式的参数化查询/准备语句功能，您应该使用它。
【讨论】：
where 子句中元素的可能性是巨大的。显然，您有 AND 和 OR 以及 BETWEEN 和 IN 列表以及其他运算符，加上括号，但您也可以调用系统过程、用户定义的函数，并且根据您正在使用的 RDBMS，整个子查询。还有一些查询可能在语法上是正确的，但仍然是非法的。
覆盖这个的单个正则表达式将 (a) 非常大并且 (b) 可能无法覆盖所有情况。您不仅真的不想这样做，而且可能根本不可能。
【讨论】：
正如已经建议的那样，正则表达式是错误的工具，您真正需要的是 SQL 解析器。我不知道任何 .Net SQL 解析器，但我确信 Google 搜索会出现一些。
【讨论】：
您可能想看看Subsonic。它旨在为您生成一个数据层，并让您使用对象来构建您的 where 子句。
【讨论】：