SQL命名查询不返回任何值

Question

我正在尝试为我的Web应用程序使用命名查询，用户正在按最高价格，最低价格和位置搜索属性。 我为此功能使用的SQL可以完美运行，但是我试图防止我的网站受到SQL注入的攻击。 我确实使用命名查询，但我无法使其正常工作。

我为有效但易受攻击的查询使用的代码如下：

 public static List<Properties> searchProperty(String city, String maxPrice,String minPrice) {
    EntityManager em = DBUtil.getEMF().createEntityManager();

    List<Properties> list = null;
    try {
        String q = "SELECT p FROM Properties p WHERE p.city = " + "'"+city+"'" + " AND p.price < " + maxPrice + " AND p.price > "+ minPrice;

        TypedQuery<Properties> tq = em.createQuery(q, Properties.class);

        list = tq.getResultList();

        if (list == null || list.isEmpty()) {
            list = null;
        }
    } catch (Exception ex) {
        System.out.println(ex);
    } finally {
        em.clear();
    }

    return list;
}

我无法使用的命名查询如下

public static List<Properties> searchProperty(String city, String maxPrice, String minPrice) {
    EntityManager em = DBUtil.getEMF().createEntityManager();
    List<Properties> list = new ArrayList<>();

    try {
        list = em.createNamedQuery("Properties.findByCityAndPrice")
                .setParameter("city", city)
                .setParameter("minPrice", minPrice)
                .setParameter("maxPrice", maxPrice)
                .getResultList();

        if (list == null || list.isEmpty()) {
            list = null;
        }
    } catch (Exception ex) {
        System.out.println(ex);
    } finally {
        em.clear();
    }
    return list;
}

和

   @NamedQuery(name = "Properties.findByLocationAndPrice", query = "SELECT p FROM Properties p WHERE p.city = :city AND p.price > :minPrice AND p.price < :maxPrice")})