同时将逗号分隔的字符串作为参数传递给数据库

Question

我有一个搜索字段，它从后端sybase搜索数据。 如果我传递一个参数。它将通过调用存储过程SYN_XYZ @param =“ abc”来搜索数据。 现在，如果我传递两个参数，它的调用就像SYN_XYZ @param =“ abc，def”

现在考虑一种情况，后端数据包含'ab，c'而不是'abc'。 我如何搜索'ab，c'，'def'因为sybase会将这个参数视为三个不同的参数，即ab和c和def。

谢谢

Answer 1

简单：不使用字符串串联。 而是使用CallableStatement和setString() 。

您的解决方案非常非常危险。 想象一下，攻击者在搜索"; DELETE FROM USER; COMMIT;