java - java中的安全动态sql查询可以更改.createNativeQuery

Question

我有一个使用 EntityManager.createNativeQuery 的应用程序。我们的质量门(Sonar)对此不太满意，并且由于 SQL 注入(inject)的风险而向我显示了一个严重错误。有没有一种“安全”的方法来在java中创建动态sql查询？

我当前的代码如下:

return entityManager.createNativeQuery(stringBuilder.toString(), MyClass.class).getResultList();

Answer 1

要防止 SQL 注入(inject)，您可以使用参数绑定(bind)。

示例:

Query query = entityManager.createNativeQuery(
    "SELECT title, author FROM books WHERE genre = ?1");
query.setParameter(1, "mystery");

您可以找到更多示例here .