如何在 JDBC 中参数化 IN 子句：最佳实践是什么？-java教程-PHP中文网

如何在 JDBC 中参数化 IN 子句：最佳实践是什么？

Patricia Arquette

发布： 2024-10-30 20:53:02

原创

473 人浏览过

How to Parameterize the IN Clause in JDBC: What Are the Best Practices?

使用 JDBC 参数化 IN 子句的最佳方法

简介

使用数据库查询时，有必要参数化输入值以防止 SQL 注入攻击。 IN 子句经常用于匹配查询中的多个值，参数化该子句对于安全性和灵活性至关重要。

IN 子句的 JDBC 参数化

在 JDBC 中，没有直接参数化 IN 子句的简单方法。但是，有几种方法可以提供解决方法：

1。 PreparedStatement 和 String.join()

使用PreparedStatement#setObject() 设置 IN 子句中的每个值。
通过加入所需数量的占位符列表使用 String#join() 的问号。

Java 实现：

<code class="java">public static String preparePlaceHolders(int length) {
    return String.join(",", Collections.nCopies(length, "?"));
}

public static void setValues(PreparedStatement preparedStatement, Object... values) throws SQLException {
    for (int i = 0; i < values.length; i++) {
        preparedStatement.setObject(i + 1, values[i]);
    }
}

登录后复制

2.自定义 SQL 查询

修改 SQL 查询以使用子查询而不是 IN 子句。

Java 实现：

<code class="java">private static final String SQL_FIND = "SELECT * FROM MYTABLE WHERE MYCOL IN (SELECT value FROM VALUES %s)";

public List<Entity> find(Set<Long> ids) throws SQLException {
    // ... (code similar to previous example)
    String sql = String.format(SQL_FIND, preparePlaceholders(ids.size()));
    // ... (remaining code)
}</code>

登录后复制

3。 JDBC 驱动程序支持