使用准备好的语句设置表名称

Question

我正在尝试使用准备好的语句来设置表名以从中选择数据，但在执行查询时不断收到错误。

错误和示例代码如下所示。

[Microsoft][ODBC Microsoft Access Driver] Parameter 'Pa_RaM000' specified where a table name is required.



private String query1 = "SELECT plantID, edrman, plant, vaxnode FROM [?]"; //?=date
public Execute(String reportDate){
    try {

        Class.forName("sun.jdbc.odbc.JdbcOdbcDriver");
        Connection conn = DriverManager.getConnection(Display.DB_MERC);
        PreparedStatement st = conn.prepareStatement(query1);
        st.setString(1, reportDate);
        ResultSet rs = st.executeQuery();

有什么想法可能导致这种情况吗？

Answer 1

String table="pass"; 

String st="select * from " + table + " ";

PreparedStatement ps=con.prepareStatement(st);

ResultSet rs = ps.executeQuery();

Answer 2

我不确定您是否可以使用PreparedStatement 来指定表的名称，仅指定某些字段的值。 无论如何，您可以尝试相同的查询，但不带括号：

"SELECT plantID, edrman, plant, vaxnode FROM ?"

Answer 3

这可能有帮助：

public ResultSet getSomething(String tableName) {

PreparedStatement ps = conn.prepareStatement("select * from \`"+tableName+"\`");
ResultSet rs = ps.executeQuery();
}

Answer 4

正如许多人所说，不能将语句参数用于表名，只能将变量用作条件的一部分。

基于您有一个带有（至少）两个表名的变量表名的事实，也许最好创建一个方法来获取您正在存储的实体并返回准备好的语句。

PreparedStatement p = createStatement(table);

Answer 5

这在技术上可以通过解决方法实现，但是非常糟糕的做法。

String sql = "IF ? = 99\n";
sql += "SELECT * FROM first_table\n";
sql += "ELSE\n";
sql += "SELECT * FROM second_table";
PreparedStatement ps = con.prepareStatement(sql);

然后，当您想从first_table中选择时，您可以设置参数，

ps.setInt(1, 99);

或者如果没有，则将其设置为其他值。

Answer 6

您无法在准备好的语句中设置表名称

如前所述，不可能在准备好的语句中使用 preparedStatement.setString(1, tableName) 设置表名称。 而且也不可能将部分 SQL 查询添加到准备好的语句中（例如 preparedStatement.addSql(" or xyz is null")）。

如何正确地做到这一点而不冒 SQL 注入的风险？

表名必须插入到要使用字符串操作执行的 SQL（或 JQL）查询中，例如 "select * from " + tableName 或 String.format("select * from %s ", tableName)

但是如何避免SQL注入呢？

如果表名称不是来自用户输入，那么您可能安全。
例如，如果您做出如下决定，

String tableName;
if(condition) {
    tableName = "animal";
} else {
    tableName = "plant";
}
final String sqlQuery = "delete from " + tableName;
...

如果表名称取决于用户输入，则您需要手动检查输入。
例如，使用包含所有有效表名称的白名单：

if(!tableNamesWhitelist.contains(tableName)) {
    throw new IllegalArgumentException(tableName + " is not a valid table name");
}
String sqlQuery = "delete from " + tableName;

或使用枚举：

public enum Table {
    ANIMAL("animal"),
    PLANT("plant");

    private sqlTableName;
    private TableName(String sqlTableName) {
        this.sqlTableName= sqlTableName;
    }
    public getSqlTableName() {
        return sqlTableName;
    }
}

然后转换用户输入字符串，例如ANIMAL进入Table.ANIMAL。 如果不存在合适的枚举值，则会引发异常。

例如，

@DeleteMapping("/{table}")
public String deleteByEnum(@PathVariable("table") Table table) {
    final String sqlQuery = "delete from " + table.getSqlTableName();
    ...
}

当然，这些示例也可以与选择、更新等一起使用，并且可以使用许多其他实现来检查用户输入。

Answer 7

表名不能用作参数。 它必须是硬编码的。 所以你可以这样做：

private String query1 = "SELECT plantID, edrman, plant, vaxnode FROM [" + reportDate + "?]";