java - 动态参数为String类型时如何去除 ' '？

Question

我想使用 jpa @Query，发现 String 类型的参数会被单引号括起来 ('')在sql语句中自动。由于是子查询，所以会出现SQL错误:

@Query(value="select cate_id,dt,channel,game_id,new_income_money,new_account,consume from ? " +
        " where cate_id=? and dt between ? and ?" ,nativeQuery = true)
List<TfData> findTfRangeData(String subsql, Integer cate_id, String start_dt, String end_dt);

我能做些什么来防止这种行为？

Answer 1

这是一个功能，旨在防止SQL injection attacks - 它不是连接可能被攻击者利用的原始文本，而是使用参数化查询以安全的方式添加参数。

不幸的是，您实际上是在尝试使用 SQL 注入(inject)来实现您想要的。您应该考虑改变它，而不是构建包含动态查询的 String，而是使用某种 DSL 库。

Spring-Data-JPA 支持几种方法来做到这一点，包括 Criteria , Specifications和 QueryDSL .

This post快速概述了如何使用它们。