jOOQ串联字符串拒绝使用的原因实例 jOOQ串联字符串拒绝使用的原因

文章图片

jOOQ开箱即支持大量的SQL语法。因此，大多数用户在使用JDBC编写动态SQL时，不会像以前那样采用字符串连接的方式。但时不时地，jOOQ不支持某个厂商的特定功能（是的，它发生了）。在这种情况下，jOOQ支持各种"普通SQL "API，它可以用来构造几乎所有类型的jOOQ API元素，比如：
但是，有时候，你需要动态地传递一个参数给这样的函数，比如说另一个列的表达式。而你想以一种类型安全的方式做到这一点，因为jOOQ代码生成器已经产生了类型安全的列表达式。所以你可能会倾向于串联，尽管如此：

field("cool_function(1, " + MY_TABLE.MY_COLUMN + ", 3)");

千万不要这样做！因为这些原因：

尽管jOOQ在一般情况下是非常安全的SQL注入，但事实上你还是可以在这里引入一个普通的SQL注入漏洞。在这种情况下不会，因为该列是生成的代码，但也许，你会把用户的输入连接起来。请注意，为了增加SQL注入保护，可以通过添加我们的PlainSQL检查器，使用检查器框架或Google ErrorProne，在全局范围内防止普通SQL的使用，只在需要时允许本地使用。
和以往的字符串连接一样，你很容易出现SQL语法错误。在这种情况下，生成的SQL不针对任何方言，因为MY_TABLE.MY_COLUMN.toString() ，没有任何上下文信息，如SQLDialect 和所有其他配置标志。

相反，使用jOOQ的纯SQL模板小语言，它允许模板占位符，如{0}, {1}, {2} ：