将表名作为参数放入SQL查询的安全方法是什么?不能使用PreparedStatement将表名作为参数。使用语句串联字符串以执行具有动态表名的查询是可能的,但不建议这样做,因为存在SQL注入的风险。最好的方法是什么?
我会尝试解决设计问题,这样您就不必动态设置表名。如果这是不可能的,我会选择这样的设计:您管理一个可用表的列表,用户按ID从中选择一个表,这样您就可以从选择的ID中检索真正的表名,并用它替换表名占位符,从而避免在表名替换中注入sql的任何机会。
将表名作为参数放入SQL查询的安全方法是什么?不能使用PreparedStatement将表名作为参数。使用语句串联字符串以执行具有动态表名的查询是可能的,但不建议这样做,因为存在SQL注入的风险。最好的方法是什么?
我的代码在这里: 但它不起作用。我该怎么做?我在jcombobox get from database中有一个列表表名,当我选择其中一个时,这个框架将显示表的所有列和信息。
可以使用列表对象作为jpa查询方法的参数吗,如下所示 其中所述方法定义为: 以下是查询方法中的一些附加信息 https://docs.spring.io/spring-data/jpa/docs/current/reference/html/#jpa.query-方法
问题内容: 我想提供查询的表名作为命令参数,如下所示: 这似乎导致了该查询:这将导致错误(注意单引号)。 我真的需要为此进行字符串连接吗?从安全的角度来看这没关系,因为用户无法更改表名,但是用于创建SQL查询的字符串连接总是让我感到毛骨悚然… 谢谢,埃里克 问题答案: 表名不能作为参数发送。表名称在解析时解析,因为计划和此类操作需要它们。仅在执行程序(或优化程序,必要时)时替换参数。 是的,您将需
问题内容: 我有5个表或表要从\查询 我的语法我喜欢这样 问题是,当我运行此命令时,我收到一条错误消息:“ .....您在SQL WHERE Patient_ID =吗?附近有错误?” 当我使用system.out.println(sql2)输出sql时; 值未在sql2中设置 问题答案: 当您准备一条语句时,数据库将构造一个执行计划,如果表不存在,则该计划无法执行。换句话说,Placehodle
问题内容: 我有一个python列表,说l 我想编写一个sql查询来获取列表中所有元素的数据,例如 我该如何完成? 问题答案: 到目前为止,答案一直是将这些值模板化为纯SQL字符串。这对于整数绝对没问题,但是如果我们想对字符串执行此操作,则会遇到转义问题。 这是一个使用参数化查询的变体,它对两个都适用: