使用Preparated语句的动态列名+sql查询，其中变量包含的

Question

attributes.replace(" ' ", "");
//also used SET "+attributes+" 
String sql;
sql = "UPDATE diseaseinfo"
        + " SET ?=?"
        + "WHERE companyname = 'mycom' && diseaseName =?";

PreparedStatement preparedStmt = connects.prepareStatement(sql);
preparedStmt.setString(1, attributes);
preparedStmt.setString(2, attrData);
preparedStmt.setString(3, medname);
System.out.println(preparedStmt);

 UPDATE diseaseinfo SET 'causes'='abc' WHERE companyname = 'mycom'  and diseaseName ='fever'

通过这个问题，我知道我不能通过准备好的语句添加动态列:https://stackoverflow.com/a/3136049/7794329

现在，真正的问题来了：假设我是否要使用一个简单的更新查询，就像这个问题一样：jdbc dymanic sql query with variable containing的

它说您不能在简单的sql查询中用's输入值，因为它会再次导致查询语法错误，例如：

SELECT * FROM diseaseinfo WHERE diseaseName = 'Adult Still's disease' AND name = 'add';

我并不担心SQL注入，因为我正在研究本地。我只想执行我的查询。

Answer 1

对啊。我们不能提供标识符作为绑定参数。列的名称必须是SQL文本的一部分。

我们可以通过如下方式将列的名称动态合并到SQL文本中：

  sql = "UPDATE diseaseinfo"
      + " SET `" + colname + "` = ?"
      + " WHERE companyname = 'mycom' AND diseaseName = ?";

并为其余两个绑定参数提供值

  preparedStmt.setString(1, attrData);
  preparedStmt.setString(2, medname);

  String colname;
  if (attributes.equals("someexpectedvalue") {
      colname = "columnname_to_be_used";
  } else if (attributes.equals("someothervalid") {
      colname = "valid_columname";
  } else {
     // unexpected/unsupported attributes value so
     // handle condition or throw an exception 
  }

更灵活的方法是确保colname中不出现反勾字符。在本例中，通过将colname的值括在后勾中来转义。因此，只要colname中没有出现反勾字符，我们就会防止提供的值被解释为标识符以外的任何东西。

对于使用硬编码的backtick字符的更通用（也更复杂）的方法，我们可以考虑使用java.sql.DatabaseMetadata类的SupportSquotedIdentifiers和GetIdEntifierQuoteString方法。

（在操作代码中，我们没有看到attributes内容的数据类型。我们看到了对名为replace的方法的调用，以及为该方法提供的参数。假设attributes是一个字符串，并且该字符串应该是一个列名，那么我们根本不清楚为什么要在字符串中使用“空格单引号空格”，或者为什么需要删除它。除了这个提到，这个答案没有解决这个问题。）