jdbi-jdbi中的@define和@bind有什么区别？

Question

是否对两个函数进行了净化/对SQL注入安全？例如，请考虑以下内容：

@SqlUpdate("INSERT INTO <tableName> (<columns>) VALUES (<values>)")
    public abstract void addRowToDataset(@Define("tableName") String tableName, @Define("columns") String columns, @BindIn("values") Collection<Object> values);

我目前的理解是，@define将字符串按原样直接插入到查询中，但@bind进行净化处理。因此，如果我们控制columns和tableNameparameters，并且只有values参数是用户输入，那么就可以了。

Answer 1

我遇到了同样的问题，发现答案出奇地难以找到。一位同事告诉我，这只是编程一代以前的常识，所以也许随着软件的发展，它的文档已经被遗忘了。

实际上，Oracle的绑定和定义一开始似乎很有前途，但完全是误导性的，因为它的“定义”指的是设置引用来检索结果，这在JDBI中根本不是它的意思。

如果我的同事是正确的话，下面是他们的实际意思：

null