带有SQL内插的ScalikeJDBC的未知SQL语法错误

Question

为了避免DRY，我试图创建一个sql INSERT语句，其中包含变量列名和通过ScalikeJDBC的sql内插填充这些列的数据：

case class MySQLInsertMessage(tableName:String, columns:List[String], values:List[String])
def depositMessage(msg: MySQLInsertMessage): Unit = {
      NamedDB('MySQLMsgDepositor) localTx { implicit session =>
        val sqlStmt = sql"INSERT INTO ${msg.tableName} (${msg.columns}) VALUES (${msg.values})"
        println("The sql statement is: " + sqlStmt.statement)
        println("The parameters are: " + sqlStmt.parameters)
        sqlStmt.update().apply()
      }
    }

当我把这个叫做：

sql语句是：INSERT INTO？（？，？）值（？,？）

参数为:List(My_Table,key,email,42,[e-mail])

您的SQL语法中有一个错误；检查与您的MySQL server版本对应的手册，查找使用“my_table”('key','email')值('42','user@emai'在第1行java.SQL.sqlsyntaxerroreXception：您的SQL语法中有错误；检查与您的MySQL server版本对应的手册，查找使用“my_table”('key','email')值('42','user@emai'在第1行的正确语法

我尝试将sql“...”包装成这样:sql“...”，但这似乎没有什么不同。我可以在我的MySQL工作台GUI中很好地执行预期的语句。知道我的语法错误是什么吗？

Answer 1

来自@Scaisedge的提示，ScalikeJDBC在使用其语法时，似乎总是在任何参数化的值周围加上单引号。从这里来看--https://github.com/scalikejdbc/scalikejdbc/issues/320--这是一个已知的问题。

使用MySQLinsert语句（或其他语句），表名或列值周围可能没有单引号，但允许有反勾。

您可以使用他们的sqlsyntax.createunsafety(str:string)方法，或者，如果我想像上面那样做，我可以使用sql“...”，而不是使用sql（“插入到${msg.tableName}(${msg.columns.mkstring（”,“）}）的旧方法）

注意--我相信这两个都让你容易受到注射攻击。因为对我来说，这是一个本地API，无论使用它，都必须有DB的用户名和密码，所以我将使用createunsafety的方式来处理事情，并使用一些regex“cleaner”来解决一些不优雅的问题：

def depositMessage(msg: MySQLInsertMessage): Unit = {
      NamedDB('MySQLMsgDepositor) localTx { implicit session =>
        val unsafeSQLRegex = "[`'\"]".r
        val table = SQLSyntax.createUnsafely(s"`${unsafeSQLRegex.replaceAllIn(msg.tableName, "")}`")
        val columns = SQLSyntax.createUnsafely(msg.columns.map(value => unsafeSQLRegex.replaceAllIn(value, "")).mkString("`", "`, `", "`"))
        val sqlStmt = sql"INSERT INTO $table ($columns) VALUES (${msg.values})".update().apply()
      }
    }
  }