HQL：处理特殊字符

Question

我试图使用HQL从数据库中获取值，但由于值包含特殊字符，因此出现异常。我无法找出原因。

下面是我正在尝试的代码：

    HotelMapping hotelMapping = null;
    SessionFactory sessionFactory = HibernateUtil.getSessionFactory();
    Session session = sessionFactory.openSession();

    Transaction tx = session.getTransaction();
    tx.begin();
    String hotelName = "A Fisher's Inn Motel";
    Query query = session.createQuery("from HotelMapping hm where hm.hotelID.hotelName='"+hotelName+"'");
    HotelMapping mapping = query.uniqueResult();
    }
    tx.rollback();

    sessionFactory.close();

POJO如下所示：Hotel.java

public class Hotel{
    String hotelName;
    double price;
    //getters and setters
}

HotelMapping.java

public class HotelMapping{

     @OneToOne(cascade = CascadeType.ALL)
     Hotel hoteID

     String location;
}

查询字符串

查询=会话。createQuery（“来自HotelMapping hm，其中hm.hotelID.hotelName='“hotelName”'” 给出以下异常：

Exception in thread "main" org.hibernate.QueryException: expecting ''', found '<EOF>' [from com.pb.model.HotelMapping hm where hm.hotelID.hotelName='A Fisher's Inn Motel']

我试着避开撇号，但没有成功。我甚至尝试设置查询参数，但再次出现异常

query.setParameter("hotelName", "A Fisher's Inn Motel");

它说异常在线程"main"org.hibernate.QueryParameterException：无法找到命名参数[hotelName]

如果有人能帮我实现特殊字符处理的通用解决方案，请？

Answer 1

您不应该使用连接来传递这样的动态参数。这不仅效率低下，而且不健壮（因为参数值中的单引号使查询无效）并且不安全，因为恶意用户可以传递一个改变查询语义学的值（谷歌搜索“SQL注入攻击”）。

相反，请使用参数：

Query query = session.createQuery(
    "from HotelMapping hm where hm.hotelID.hotelName = :hotelName");
query.setString("hotelName", hotelName);