postgresql - Anorm 返回 0 个结果，而 psql 返回 2 个结果

Question

我通过 AJAX 为搜索栏提供动力，该搜索栏传递与数据库列相关的选定过滤器(单选按钮)和搜索栏中输入的任何内容的搜索字符串。我使用的 scala/play/anorm 代码是这样的:

def searchDB(searchString: String, filter: String): List[DatabaseResult] = {
DB.withConnection { implicit c =>
  SQL(
    """
      SELECT name, email, emailsecondary, picture, linkedin, title, company, companylink, companydesc, location, github, stackoverflow, twitter, blog
      FROM mailinglistperson
      WHERE {filter} LIKE '%{searchString}%'
    """).on(
          'filter -> filter,
          'searchString -> searchString
    ).as(databaseResultParser.*)
}

当我使用与上述异常代码同构的 psql 在数据库 (PostgreSQL) 上运行查询时，它返回 2 个结果，即:

select id, name, email from mailinglistperson where company like '%kixer%';

但是当传递完全相同的值时，异常代码返回 0 个结果(我已经通过 println 验证了这些值)

编辑:当我将异常代码切换为使用字符串插值时，我得到:

[error] - play.core.server.netty.PlayDefaultUpstreamHandler - Cannot invoke the action
 java.lang.RuntimeException: No parameter value for placeholder: 3

EDIT2:我还尝试将“%...%”与 searchString 一起传递到 LIKE 中，但仍然得到 0 个结果。

Answer 1

有两个问题——列名和过滤值

---

至于过滤值:您必须在 SQL 命令中省略单个标记，并且您应该在参数中传递占位符“%”。如果是字符串，则会自动处理刻度。

---

至于列名:它就像一个字符串参数，因此也会自动处理报价:

[debug] c.j.b.PreparedStatementHandle - select ... from ... where 'filter' like '%aaa%'

一种解决方案:使用普通字符串插值 s"""... $filter ..."""。

---

一起:

SQL(
  s"""
    SELECT name, email, ...
    FROM mailinglistperson
    WHERE $filter LIKE {searchString}
  """).on(
      'searchString -> "%" + searchString + "%"
  ).as(databaseResultParser.*)

但这之前应该伴随着检查，比如

val validColumns = List("name", "email")
if (validColumns.contains(filter)) == false) {
  throw new IllegalArgumentException("...")
}

防止 SQL 注入(inject)。

---

更新

正如 cchantep 所指出的:如果使用 Anorm >= 2.4，则可以使用混合插值(列名和值):

SQL"... WHERE #$filter LIKE $searchString"

在这种情况下，它对 SQL 注入(inject)是部分安全的:仅覆盖值，不覆盖列名。

更新 2

关于记录 SQL 语句，请参阅 Where to see the logged sql statements in play2?

但是当您使用 PostgreSQL 时，我建议使用权威来源:PostgreSQL 日志:在 postgresql.conf 中:

log_statement = 'all' # none, ddl, mod, all

然后您将在 PostgreSQL 日志文件中看到如下内容:

LOG: select * from test50 where name like $1

DETAIL: Parameter: $1 = '%aaa'