使用 LIKE 时在 Java 中清理 SQL 输入

Question

我们都知道在 Java 中应该使用 PreparedStatments 来避免安全漏洞。

但是，我注意到当使用 LIKE 语句进行“开始于”搜索时，PreparedStatments 可能会导致性能问题。因为该语句是在没有值的情况下编译的，所以驱动程序必须假定通配符可以在任何地方，包括开头，因此它会跳过该列上的任何索引。但是，如果您使用 LIKE 值作为文字来编译语句，它会看到它可以在值上使用列的索引，直到通配符和查询执行良好。

//safe, but prepared statement can't use index on MYCOL
String userInput = "myval%";
statement = conn.prepareStatement("SELECT * FROM MYTABLE WHERE MYCOL LIKE ?");
statement.setString(1, userInput);
rs = statement.executeQuery();


//can use index on MYCOL, but is not safe
statement = conn.createStatement();
rs = statement.executeQuery("SELECT * FROM MYTABLE WHERE MYCOL LIKE '"+userInput+"'");

那么如何在保留索引的同时避免安全漏洞呢？我假设我将不得不尝试清理输入而不是使用 PreparedStatement - 如果是这样，是否存在一个库来正确执行它？或者是否有相同的 java.sql 或（oracle）数据库提示方式告诉准备好的语句它将能够使用值上的索引？

Answer 1

您是否考虑过在数据库端创建一个存储过程？这样，您只需将 stored_procedure 名称和类似字符串作为参数发送到数据库，并在 java 端处理结果集。这样，您就知道您的查询将使用您正在处理的表的索引。

Answer 2

为此创建一个 sql 函数，或者使用第二种方法并转义字符 (' -->> '')

String userInput="IBM";
statement = conn.createStatement();
    rs = statement.executeQuery("SELECT * FROM MYTABLE WHERE MYCOL LIKE '"+userInput.replaceAll("'","''")+"%'");