在 Java 中转义 MySQL 字符串...没有准备好的语句

Question

我正在寻找一种使用 Java 为 MySQL 查询转义字符串的方法。

但是等等，在你们中的一些人直接跳到“准备好的陈述”的结论之前，我想再解释一下。

问题是，我没有 MySQL 连接。我没有直接从 Java 执行任何 MySQL 查询。我对准备好的语句了解不多，但是AFAIK，准备好的语句需要实时连接才能工作。

我想让我的代码读入一堆 CSV/XLS 文件，获取数据，然后为 MySQL 生成一个巨大的 INSERT 查询。但是这个查询现在将存储在一个文本文件中。在有人开绿灯并将这个文本文件转储到数据库之前，它不会执行。

有没有一种简单的方法可以做到这一点，而无需使用过度的框架/库？谢谢你们。

Answer 1

似乎没有任何现有的库/框架可以做这样的事情。所以我猜一个简单的String 操纵器会做吗？

class xxx {

    private String escapeStringForMySQL(String s) {
        return s.replaceAll("\\", "\\\\")
                .replaceAll("\b","\\b")
                .replaceAll("\n","\\n")
                .replaceAll("\r", "\\r")
                .replaceAll("\t", "\\t")
                .replaceAll("\\x1A", "\\Z")
                .replaceAll("\\x00", "\\0")
                .replaceAll("'", "\\'")
                .replaceAll("\"", "\\\"");
    }

    private String escapeWildcardsForMySQL(String s) {
        return escapeStringForMySQL(s)
                .replaceAll("%", "\\%")
                .replaceAll("_","\\_");
    }

}

Answer 2

MySQL 可以使用指定的Special Character Escape Sequences

Escape Sequence Character Represented by Sequence
\0  An ASCII NUL (X'00') character
\'  A single quote (') character
\"  A double quote (") character
\b  A backspace character
\n  A newline (linefeed) character
\r  A carriage return character
\t  A tab character
\Z  ASCII 26 (Control+Z); see note following the table
\\  A backslash (\) character
\%  A % character; see note following the table
\_  A _ character; see note following the table

Answer 3

您可以使用专为此目的而设计的OWASP's ESAPI。它有 MySQL 编解码器。

Answer 4

试试StringEscapeUtils.escapeSql() 这将满足您的期望。

Answer 5

我使用了 org.apache.commons.lang3.StringEscapeUtils.escapeHtml4(input);

您可以在此处查看文档 String Escape Util (Commons Lang 3.1 API)

public static final String escapeHtml4(String input) 转义 使用 HTML 实体的字符串中的字符。

例如：

“面包”和“黄油”

变成："bread" & "butter".

支持所有已知的 HTML 4.0 实体，包括时髦的口音。笔记 常用的撇号转义字符 (') 不是 不支持法人实体等）。

参数：input - 要转义的字符串，可以为 null 返回：一个新的 转义字符串，如果为空字符串输入则为空 3.0

Answer 6

package io.github.sinri.Keel.test.mysql;

public class MySQLTest {
    public static void main(String[] args) {
        StringBuilder sb=new StringBuilder();
        sb.append('\0').append('\'').append('"').append('\b').append('\n').append('\t').append('\r')
                .append(Character.toChars(26)).append('\\').append('_').append('%');

        String raw=sb.toString();
        System.out.println("raw: "+raw);
        System.out.println("escapeStringForMySQL: "+escapeStringForMySQL(raw));
        System.out.println("escapeWildcardsForMySQL: "+escapeWildcardsForMySQL(raw));

    }

    private static String escapeStringForMySQL(String s) {
        return s.replace("\\", "\\\\")
                .replace("\b","\\b")
                .replace("\n","\\n")
                .replace("\r", "\\r")
                .replace("\t", "\\t")
                .replace(new String(Character.toChars(26)), "\\Z")
                .replace(new String(Character.toChars(0)), "\\0")
                .replace("'", "\\'")
                .replace("\"", "\\\"");
    }

    private static String escapeWildcardsForMySQL(String s) {
        return escapeStringForMySQL(s)
                .replace("%", "\\%")
                .replace("_","\\_");
    }
}