Какие способы формирования SQL-запросов вы знаете (ORM, query builder, «сырой» SQL с параметрами) и в чём их особенности?

При работе с реляционной базой данных из приложения нужно как-то формировать SQL-запросы. Исторически сложились три подхода, и каждый решает свою задачу: ORM, query builder и «сырой» SQL с параметрами. Выбор между ними влияет на скорость разработки, читаемость кода, производительность и безопасность.

ORM (Object-Relational Mapping)

ORM сопоставляет классы и объекты языка программирования с таблицами и строками БД. Вы работаете с сущностями, а библиотека сама генерирует SQL.

• Плюсы: быстрая разработка CRUD, типобезопасность, миграции, ленивая загрузка связей.
• Минусы: сложные запросы превращаются в неоптимальный SQL, эффект N+1, «магия» и скрытые запросы.

// Hibernate / JPA
User user = entityManager.find(User.class, 1L);
List<Order> orders = user.getOrders(); // ленивая загрузка

Query Builder

Это DSL поверх SQL: вы строите запрос методами, а библиотека собирает корректный SQL с плейсхолдерами. Гибче ORM, но ближе к SQL.

• Плюсы: контроль над запросом, защита от инъекций, композиция условий.
• Минусы: меньше абстракции, чем в ORM, нужно знать SQL.

// Knex.js
const rows = await knex('users')
  .where('age', '>', 18)
  .andWhere('active', true)
  .select('id', 'name');

Сырой SQL с параметрами

Вы пишете SQL вручную, но значения передаёте через параметры (prepared statements), а не конкатенацию строк.

• Плюсы: максимальная производительность, полный контроль, сложные аналитические запросы.
• Минусы: ручной маппинг результата, риск ошибок, привязка к конкретной СУБД.

-- Плохо: SQL-инъекция
SELECT * FROM users WHERE name = '" + name + "';

-- Хорошо: параметры
SELECT * FROM users WHERE name = ?;

Как выбирать

1. Обычный CRUD и доменная модель — ORM.
2. Динамические фильтры и отчёты — query builder.
3. Тяжёлая аналитика, bulk-операции, оптимизация — сырой SQL с параметрами.

Итог: в реальных проектах подходы часто комбинируют — ORM для повседневной работы, query builder для сложных выборок и сырой SQL там, где важна производительность. Главное — всегда использовать параметризацию, чтобы избежать SQL-инъекций.