Hibernate防止sql注入對參數賦值傳參數的例子

Hibernate中對動態查詢參數綁定提供了豐富的支持,那麼什麼是查詢參數動態綁定呢?其實如果我們熟悉傳統JDBC編程的話,我們就不難理解查詢參數動態綁定,如下代碼傳統JDBC的參數綁定: 

PrepareStatement pre=connection.prepare(“select * from User where user.name=?”); 
pre.setString(1,”zhaoxin”); 
ResultSet rs=pre.executeQuery(); 

在Hibernate中也提供了類似這種的查詢參數綁定功能,而且在Hibernate中對這個功能還提供了比傳統JDBC操作豐富的多的特性,在Hibernate中共存在4種參數綁定的方式,下面我們將分別介紹: 

A、 按參數名稱綁定: 

在HQL語句中定義命名參數要用”:”開頭,形式如下: 
Query query=session.createQuery(“from User user where user.name=:customername and user:customerage=:age ”); 
query.setString(“customername”,name); 
query.setInteger(“customerage”,age); 

上面代碼中用:customername和:customerage分別定義了命名參數customername和customerage,然後用Query接口的setXXX()方法設定名參數值,setXXX()方法包含兩個參數,分別是命名參數名稱和命名參數實際值。 

B、 按參數位置邦定: 

在HQL查詢語句中用”?”來定義參數位置,形式如下: 
Query query=session.createQuery(“from User user where user.name=? and user.age =? ”); 
query.setString(0,name); 
query.setInteger(1,age); 

同樣使用setXXX()方法設定綁定參數,只不過這時setXXX()方法的第一個參數代表邦定參數在HQL語句中出現的位置編號(由0開始編號),第二個參數仍然代表參數實際值。 

注:在實際開發中,提倡使用按名稱邦定命名參數,因爲這不但可以提供非常好的程序可讀性,而且也提高了程序的易維護性,因爲當查詢參數的位置發生改變時,按名稱邦定名參數的方式中是不需要調整程序代碼的。 

C、 setParameter()方法: 

在Hibernate的HQL查詢中可以通過setParameter()方法邦定任意類型的參數,如下代碼: 
String hql=”from User user where user.name=:customername ”; 
Query query=session.createQuery(hql); 
query.setParameter(“customername”,name,Hibernate.STRING); 

如上面代碼所示,setParameter()方法包含三個參數,分別是命名參數名稱,命名參數實際值,以及命名參數映射類型。對於某些參數類型setParameter()方法可以更具參數值的Java類型,猜測出對應的映射類型,因此這時不需要顯示寫出映射類型,像上面的例子,可以直接這樣寫: 

query.setParameter(“customername”,name);但是對於一些類型就必須寫明映射類型,比如java.util.Date類型,因爲它會對應Hibernate的多種映射類型,比如Hibernate.DATA或者Hibernate.TIMESTAMP。

D、 setProperties()方法: 

在Hibernate中可以使用setProperties()方法,將命名參數與一個對象的屬性值綁定在一起,如下程序代碼: 

Customer customer=new Customer(); 
customer.setName(“pansl”); 
customer.setAge(80); 
Query query=session.createQuery(“from Customer c where c.name=:name and c.age=:age ”); 
query.setProperties(customer); 

setProperties()方法會自動將customer對象實例的屬性值匹配到命名參數上,但是要求命名參數名稱必須要與實體對象相應的屬性同名。 

這裏還有一個特殊的setEntity()方法,它會把命名參數與一個持久化對象相關聯,如下面代碼所示: 

Customer customer=(Customer)session.load(Customer.class,”1”); 
Query query=session.createQuery(“from Order order where order.customer=:customer ”); 
query. setEntity(“customer”,customer); 
List list=query.list(); 

上面的代碼會生成類似如下的SQL語句: 

Select * from order where customer_ID=’1’
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章