Hibernate和SQL注入

Question

我已经看到一些主题通过命名参数讨论防止SQL注入的问题，但是hibernate语句如何

currentSession().update(object);

要么

currentSession().save(object) ？

这些安全吗？ 或者总是使用命名参数更安全

currentSession().createQuery("update Object set field=:field where id=:id").setParameter("field", field).setParameter("id", id).executeUpdate() ？

Answer 1

它们是安全的，Hibernate使用实体CRUD语句的绑定变量。 为每个实体缓存语句，以避免每次需要时创建它们，并且在执行时仅提供绑定的变量值。

您可以启用S​​QL日志记录来检查生成的SQL。