java - 将逗号分隔的字符串作为参数传递给数据库时

Question

我有一个搜索字段，可以从后端 sybase 搜索数据。如果我传递一个参数。它通过调用存储过程 SYN_XYZ @param = "abc"来搜索数据。现在，如果我传递两个参数，它会调用 SYN_XYZ @param = "abc,def"

现在考虑一种情况，后端数据包含“ab,c”而不是“abc”。我如何搜索 'ab,c','def' 因为 sybase 会将此参数视为三个不同的参数，即 ab、c 和 def。

谢谢

Answer 1

简单:不要使用字符串连接。相反，请使用 CallableStatement 和 setString()。

你的解决方案非常非常危险。想象一下攻击者搜索 "; DELETE FROM USER; COMMIT;