java - HQL:处理特殊字符

Question

我尝试使用 HQL 从数据库中获取值，但由于值包含特殊字符而出现异常。我无法弄清楚为什么。

下面是我正在尝试的代码:

    HotelMapping hotelMapping = null;
    SessionFactory sessionFactory = HibernateUtil.getSessionFactory();
    Session session = sessionFactory.openSession();

    Transaction tx = session.getTransaction();
    tx.begin();
    String hotelName = "A Fisher's Inn Motel";
    Query query = session.createQuery("from HotelMapping hm where hm.hotelID.hotelName='"+hotelName+"'");
    HotelMapping mapping = query.uniqueResult();
    }
    tx.rollback();

    sessionFactory.close();

pojo 如下所示:酒店.java

public class Hotel{
    String hotelName;
    double price;
    //getters and setters
}

HotelMapping.java

public class HotelMapping{

     @OneToOne(cascade = CascadeType.ALL)
     Hotel hoteID

     String location;
}

查询字符串

Query query = session.createQuery("from HotelMapping hm where hm.hotelID.hotelName='"+hotelName+"'"); 给出以下异常:

Exception in thread "main" org.hibernate.QueryException: expecting ''', found '<EOF>' [from com.pb.model.HotelMapping hm where hm.hotelID.hotelName='A Fisher's Inn Motel']

我尝试转义撇号，但没有成功。我什至尝试设置查询参数，但再次出现异常

query.setParameter("hotelName", "A Fisher's Inn Motel");

它说线程“main”org.hibernate.QueryParameterException中的异常:无法找到命名参数[hotelName]

请问有人可以帮助我实现特殊字符处理的通用解决方案吗？

Answer 1

您永远不应该使用串联来传递这样的动态参数。这不仅效率低下，而且不健壮(因为参数值中的单引号会使查询无效)并且不安全，因为恶意用户可以传递一个改变查询语义的值(谷歌搜索“SQL注入(inject)攻击”) ”)。

相反，使用参数:

Query query = session.createQuery(
    "from HotelMapping hm where hm.hotelID.hotelName = :hotelName");
query.setString("hotelName", hotelName);