使用准备好的语句的变量列名

Question

我想知道是否有任何方法可以使用准备好的语句指定返回的列名。

我正在使用 MySQL 和 Java。

当我尝试时：

String columnNames="d,e,f"; //Actually from the user...
String name = "some_table"; //From user...
String query = "SELECT a,b,c,? FROM " + name + " WHERE d=?";//...
stmt = conn.prepareStatement(query);
stmt.setString(1, columnNames);
stmt.setString(2, "x");

我得到了这种类型的语句（在执行前打印）。

SELECT a,b,c,'d,e,f' FROM some_table WHERE d='x'

不过，我希望看到：

SELECT a,b,c,d,e,f FROM some_table WHERE d='x'

我知道我不能对表名执行此操作，如前所述 here，但想知道是否有办法对列名进行处理。

如果没有，那么我只需要尝试确保我对输入进行了清理，以免导致 SQL 注入漏洞。

Answer 1

这表明一个糟糕的数据库设计。用户不需要知道列名。创建一个真正的 DB 列，其中包含这些“列名”并将数据存储在其中。

无论如何，不​​，您不能将列名设置为PreparedStatement 值。您只能将列 values 设置为 PreparedStatement values

如果您想继续朝这个方向发展，您需要清理列名（以避免SQL Injection）并自己连接/构建 SQL 字符串。引用单独的列名并使用String#replace() 转义列名内的相同引号。

Answer 2

准备一个允许列名的白名单。使用“查询”在白名单中查找以查看列名是否存在。如果不是，拒绝查询。

Answer 3

接受的答案实际上并不正确。虽然 OP 方法表明数据库设计不佳，但业务逻辑可能需要它（例如 MySQL IDE）

无论如何，对于 MySQL 准备好的语句，您需要知道的是 ? 是用于值，但如果您需要转义列名、表名等，请改用 ??。

这样的事情会起作用：

SELECT ??, ??, ?? FROM ?? WHERE ?? < ? 

将值设置为['id', 'name', 'address', 'user', 'id', 100]

Answer 4

我认为这种情况行不通，因为准备好的语句的全部目的是防止用户输入未转义的查询位 - 所以你总是会引用或转义文本。

如果您想安全地影响查询结构，则需要在 Java 中清理此输入。

Answer 5

利用语句接口的sql注入劣势作为优势。 例如：

st=conn.createStatement();
String columnName="name";
rs=st.executeQuery("select "+ columnName+" from ad_org ");

Answer 6

public void MethodName(String strFieldName1, String strFieldName2, String strTableName)
{
//Code to connect with database
String strSQLQuery=String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName);
st=conn.createStatement();
rs=st.executeQuery(strSQLQuery);
//rest code
}

Answer 7

下面是java中的解决方案。

String strSelectString = String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName);