当查询作为 Java 方法的参数出现时，如何避免 SQL 注入？

Question

public static RepositoryItem[] executeQuery(Repository repository, String query,Object[] params)
{
    RepositoryItem[] data = null;

    try {
        RepositoryView repositoryView = repository.getView(viewName);
        RqlStatement statement = RqlStatement.parseRqlStatement(query);
    }
}

该查询是参数化查询。

Answer 1

根据您使用的数据库，您可以使用具有只读访问权限的用户的凭据定义 SQL 连接或 DBConnectionPool。 任何未经授权的语句都会被 DBMS 拒绝。