java - Java构建MySQL查询的有效方法

Question

我正在开发一个经常访问数据库的 portlet。我必须以某种方式指定查询，以提供过滤作为对用户输入的 react 的可能性。用于过滤的参数目前是两个，但这个数量在未来可能会增加。

目前，我的构造对于所有输入都运行良好，但是，我认为我没有以正确/有效的方式进行操作，因为我没有使用准备好的语句，只是手动构造查询。

这是我的代码示例(serviceFilter 是一个数组列表，typeFlag 是一个字符串)

private String prepareQuery() {
        String query = "SELECT * from messages ";

        // check filters
        if (!typeFlag.equals("ALL")) {
            if (typeFlag.equals("XML")) {
                query += "WHERE type='" + TYPE_XML + "'";
            } else {
                query += "WHERE type='" + TYPE_JAVA + "'";
            }
        }

        // lets see if user specifies some service filtering
        if (serviceFilter.size() > 0) {
            if (!typeFlag.equals("ALL")) {
                query += " AND (";
            } else {
                query += " WHERE (";
            }

            for (int i = 0; i < serviceFilter.size(); i++) {
                if (i>0) {
                    query += " OR ";
                }
                String service = serviceFilter.get(i);
                System.out.println("Filter: " + service);
                query += "sender='" + service + "' OR receiver='" + service + "'";
            }
            query += ")";
        }

        query += " ORDER BY id DESC LIMIT " + String.valueOf(limit);

        System.out.println(query);

        return query;
    }

第一个问题是，这无法防止 SQL 注入(inject)(这不会是一个大问题，因为所有输入都来自复选框和滚动条，因此用户实际上不会输入任何内容)。我不确定如何在此处使用准备好的语句，因为我的 arrayList 的数量可能很长，并且每个查询都会发生变化。

由于这个事实，查询本身可能会变得很长。下面是一个仅针对两个参数的查询示例(假设有 20 个项目):

SELECT * from messages  WHERE (sender='GreenServiceESB#GreenListener' OR receiver='GreenServiceESB#GreenListener' OR sender='queue/DeadMessageQueue' OR receiver='queue/DeadMessageQueue') ORDER BY id DESC LIMIT 50

基本上，我的问题是:这是构建查询的有效方法吗(可能不是，对吧)？您建议采用哪种方法？

PS:我正在使用 JDBC 连接到数据库并执行查询，如果它在任何方面都很重要......

感谢任何提示!

Answer 1

如果你想使用类似的东西

  create.selectFrom(BOOK)
  .where(PUBLISHED_IN.equal(2011))
  .orderBy(TITLE)

代替

  SELECT * FROM BOOK
  WHERE PUBLISHED_IN = 2011
  ORDER BY TITLE

您可以查看http://www.jooq.org/ .它将简化您的代码，并且您可以避免诸如“if (something) { sql += "WHERE ..."}”之类的事情。这是反模式，应尽可能不要使用。