Hibernate和SQL注入

Question

我已經看到一些主題通過命名參數討論防止SQL注入的問題，但是hibernate語句如何

currentSession().update(object);

要么

currentSession().save(object) ？

這些安全嗎？ 或者總是使用命名參數更安全

currentSession().createQuery("update Object set field=:field where id=:id").setParameter("field", field).setParameter("id", id).executeUpdate() ？

Answer 1

它們是安全的，Hibernate使用實體CRUD語句的綁定變量。 為每個實體緩存語句，以避免每次需要時創建它們，並且在執行時僅提供綁定的變量值。

您可以啟用S​​QL日志記錄來檢查生成的SQL。