将没有参数的查询传递给PreparedStatement是否安全？

Question

我对Java还很陌生，所以这肯定会是一个愚蠢的问题。

public ResultSet mySelectMethod(String query, Connection conn) {
    ResultSet rset = null;
    try {
        PreparedStatement st = conn.PreparedStatement(query);   //I am unsure about this assignment
        rset = st.executeQuery();
    } catch (SQLException e) {
        System.out.println(e);
    }
    return rset;
}
...
...
// method call:
String myQuery = "SELECT colA FROM table_name WHERE table_id = 192837465";
ResultSet myResultSet = mySelectMethod(myQuery, myConn);

这是安全的还是有什么问题？

Answer 1

由于您没有向查询传递任何参数，因此不存在SQL注入的风险。此外，您不需要PreparedStatement来处理您的案例。您可以改用语句。

String query = "SELECT * from Table where col1 = 123 and col2 = 'abc'";

try (Statement st = conn.createStatement()) {
    ResultSet rset = stmt.executeQuery(query);

    while (rs.next()) {
        //...
    }
} 

除此之外，正如您在上面的代码中所看到的，您应该尝试使用try-with-resortes语句自动关闭资源。