2

「where」制限の変数値を設定できます。

Query criteria = session.createQuery(
  "select test.col1, test.col2, test.col3
  "from Test test " +
  "where test.col = :variableValue ");
criteria.setInteger("variableValue", 10);

しかし、このように変数列を設定することは可能ですか？

String variableColumn = "test.col1";
Query criteria = session.createQuery(
  "select test.col1, test.col2, test.col3
  "from Test test " +
  "where :variableColumn = :variableValue ");
criteria.setInteger("variableValue", 10);
criteria.setString("variableColumn", variableColumn);

結果は次のとおりです。

Exception in thread "main" Hibernate: select .... where ?=? ...
org.hibernate.exception.SQLGrammarException: could not execute query
    at org.hibernate.exception.SQLStateConverter.convert(SQLStateConverter.java:92)
    ...
    at _test.TestCriteria.main(TestCriteria.java:44)
Caused by: com.microsoft.sqlserver.jdbc.SQLServerException: Conversion failed when converting the nvarchar value 'test.col1' to data type int.
    ...

更新（実用的なソリューション）：

Query criteria = session.createQuery(
  "select test.col1, test.col2, test.col3
  "from Test test " +
  "where (:value1 is null OR test.col1 = :value1) AND 
         (:value2 is null OR test.col2 = :value2) "
4

2 に答える 2

6

文字列の一部として列名を設定できます。セキュリティのために、SQLエスケープを手動で行うことができますが、最終的にはこれを実現できます。

commonsSQLインジェクションを回避するには、次のクラスを使用できます。

String escapedVariableColumn = org.apache.commons.lang.StringEscapeUtils.escapeSql(variableColumn);

Query criteria = session.createQuery(
  "select test.col1, test.col2, test.col3
  "from Test test " +
  "where " + escapedVariableColumn + " = :variableValue ");
criteria.setInteger("variableValue", 10);
于 2012-04-07T16:37:04.153 に答える
6

これはアプリケーションで意味がありますか？

String query =  "select test.col1, test.col2, test.col3" + 
  "from Test test " +
  "where {columnName} = :variableValue ";
Object variableValue = // retrieve from somewhere
String columnName = // another retrieve from somewhere
query = query.replace("{columnName}", columName);
// Now continue as always

これは通常、単純なクエリコンストラクタです。このアイデアを別のユーティリティ/エンティティベースのクラスにリファクタリングして、実行前にクエリを改良（SQLインジェクションなど）する必要がある場合があります。

于 2012-04-07T16:38:34.743 に答える