Wie kann ich dynamische Spaltennamen in vorbereiteten JDBC-Anweisungen verarbeiten?

Abfrageparameter und variable Spaltennamen

In Java kann es bei der Verwendung von JDBC-vorbereiteten Anweisungen zu einem Szenario kommen, in dem dynamische Spaltennamen erforderlich sind in einer Abfrage angegeben. Leider ist es nicht möglich, Spaltennamen direkt als vorbereitete Anweisungswerte festzulegen, da stattdessen Spaltenwerte erwartet werden.

Versuche, Spaltennamen als Werte anzugeben, führen zu Abfragen wie:

SELECT a,b,c,'d,e,f' FROM some_table WHERE d='x'

Die gewünschte Abfrage wäre jedoch:

SELECT a,b,c,d,e,f FROM some_table WHERE d='x'

Lösung und Überlegungen

It Es wird davon abgeraten, variable Spaltennamen auf diese Weise zu verwenden, da dies zu Problemen beim Datenbankdesign führen und das Risiko von SQL-Injection-Schwachstellen erhöhen kann. Erwägen Sie stattdessen die Erstellung einer dedizierten Datenbankspalte, um diese „Spaltennamen“ zu speichern und die Daten entsprechend zu speichern.

Wenn Sie weiterhin variable Spaltennamen benötigen, besteht eine Problemumgehung darin, die Eingabe zu bereinigen, die SQL-Zeichenfolge manuell zu erstellen und zu zitieren die Spaltennamen und Escape-Anführungszeichen innerhalb der Namen mit String#replace(). Bedenken Sie, dass dieser Ansatz weiterhin das Potenzial für SQL-Injection-Schwachstellen birgt, sodass eine Bereinigung von entscheidender Bedeutung ist.

Das obige ist der detaillierte Inhalt vonWie kann ich dynamische Spaltennamen in vorbereiteten JDBC-Anweisungen verarbeiten?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!