sql语句中用问号代替参数_后台sql替换占位符资源-CSDN文库

共1个文件

java：1个

需积分: 28 125 浏览量 2022-08-02 20:58:43 上传评论收藏 1KB ZIP 举报

在SQL语句中，使用问号（`?`）作为参数占位符是一种常见的做法，尤其是在编程语言如Java中与数据库交互时。这种方式被称为预编译语句或参数化查询，它具有重要的安全性和性能优势。 ### SQL参数化查询的概念参数化查询允许将变量值插入到SQL语句中，而不是直接将它们拼接到字符串中。问号是大多数数据库系统用来表示这些参数的占位符。例如，以下是一个简单的参数化SELECT语句： ```sql SELECT * FROM Users WHERE username = ? ``` 在这个例子中，`?`是一个参数占位符，它的实际值将在执行查询之前由程序提供。 ### 为什么使用问号参数 1. **防止SQL注入**：问号参数化能有效防止SQL注入攻击。因为它确保了用户输入的数据不会被解析为SQL代码，而是作为原始数据处理。即使用户尝试插入恶意SQL，数据库也会将它们视为普通字符串，而不会执行。 2. **提高性能**：预编译的SQL语句可以在数据库中缓存，多次执行相同结构但不同参数的查询时，可以显著提高执行效率。数据库只需解析一次SQL模板，然后用新参数替换问号即可。 3. **减少错误**：动态构建SQL字符串容易出错，尤其是当字符串包含特殊字符时。使用问号参数可以避免这类问题，因为它们会被正确地转义和处理。 ### 在Java中的应用在Java中，我们通常使用`PreparedStatement`来实现SQL参数化。下面是一个示例： ```java String sql = "SELECT * FROM Users WHERE username = ?"; Connection conn = // 获取数据库连接 PreparedStatement pstmt = conn.prepareStatement(sql); pstmt.setString(1, "usernameValue"); // 设置参数值 ResultSet rs = pstmt.executeQuery(); // 处理结果集... ``` 在这里，`setString(1, "usernameValue")`方法设置了第一个问号参数的值。注意，参数的位置是基于它们在SQL语句中出现的顺序，从1开始计数。 ### 总结使用问号参数化查询是编写安全、高效SQL语句的关键实践。它不仅可以防范SQL注入，还能优化性能，同时减少因字符串拼接导致的潜在错误。在Java等编程语言中，通过`PreparedStatement`接口，我们可以轻松实现这一功能。了解并熟练掌握这种技术对于任何进行数据库操作的开发者来说都至关重要。

资源详情

资源评论

资源推荐

收起资源包目录

fsi.zip （1个子文件）

fsi.java 4KB

package com.zheling.interceptor; import java.sql.Connection; import java.text.SimpleDateFormat; import java.util.ArrayList; import java.util.Date; import java.util.List; import java.util.Properties; import org.apache.ibatis.executor.statement.StatementHandler; import org.apache.ibatis.mapping.BoundSql; import org.apache.ibatis.mapping.ParameterMapping; import org.apache.ibatis.mapping.ParameterMode; import org.apache.ibatis.plugin.Interceptor; import org.apache.ibatis.plugin.Intercepts; import org.apache.ibatis.plugin.Invocation; import org.apache.ibatis.plugin.Plugin; import org.apache.ibatis.plugin.Signature; import org.apache.ibatis.reflection.MetaObject; import org.apache.ibatis.reflection.SystemMetaObject; import org.apache.ibatis.session.Configuration; import org.apache.ibatis.type.TypeHandlerRegistry; import org.slf4j.Logger; import org.slf4j.LoggerFactory; @Intercepts({ @Signature(type = StatementHandler.class, method = "prepare", args = { Connection.class }) }) public class FullSQLInterceptor implements Interceptor { private static final Logger LOGGER = LoggerFactory.getLogger(FullSQLInterceptor.class); private Configuration configuration; private TypeHandlerRegistry typeHandlerRegistry; private static ThreadLocal<SimpleDateFormat> dateTimeFormatter = new ThreadLocal<SimpleDateFormat>() { @Override protected SimpleDateFormat initialValue() { return new SimpleDateFormat("yyyy-MM-dd HH:mm:ss"); } }; public Object intercept(Invocation invocation) throws Throwable { StatementHandler stmtHandler = (StatementHandler) invocation.getTarget(); MetaObject metaStmtHandler = SystemMetaObject.forObject(stmtHandler); BoundSql boundSql = (BoundSql) metaStmtHandler.getValue("delegate.boundSql"); String sql = boundSql.getSql(); List<String> parameters = new ArrayList<String>(); Object parameterObject = metaStmtHandler.getValue("delegate.boundSql.parameterObject"); List<ParameterMapping> parameterMappings = boundSql.getParameterMappings(); if (parameterMappings != null) { configuration = (Configuration) metaStmtHandler.getValue("delegate.configuration"); MetaObject metaObject = parameterObject == null ? null : configuration .newMetaObject(parameterObject); // 获取类型处理器注册器，类型处理器的功能是进行java类型和数据库类型的转换 typeHandlerRegistry = configuration.getTypeHandlerRegistry(); for (int i = 0; i < parameterMappings.size(); i++) { ParameterMapping parameterMapping = parameterMappings.get(i); if (parameterMapping.getMode() != ParameterMode.OUT) { // 参数值 Object value; String propertyName = parameterMapping.getProperty(); // 获取参数名称 if (boundSql.hasAdditionalParameter(propertyName)) { // 获取参数值 value = boundSql.getAdditionalParameter(propertyName); } else if (parameterObject == null) { value = null; } else if (typeHandlerRegistry.hasTypeHandler(parameterObject.getClass())) { // 如果是单个值则直接赋值 value = parameterObject; } else { value = metaObject == null ? null : metaObject.getValue(propertyName); } if (value instanceof Number) { parameters.add(String.valueOf(value)); } else { StringBuilder builder = new StringBuilder(); builder.append("'"); if (value instanceof Date) { builder.append(dateTimeFormatter.get().format((Date) value)); } else if (value instanceof String) { builder.append(value); } builder.append("'"); parameters.add(builder.toString()); } } } } for (String value : parameters) { sql = sql.replaceFirst("\\?", value); } LOGGER.info(sql); return invocation.proceed(); } public Object plugin(Object target) { return Plugin.wrap(target, this); } public void setProperties(Properties properties) { } }