Sql.execute 中的 Groovy GString - 文本变量不被 ' 包围并且查询失败

Question

我遇到以下问题，当我将 GString 传递给 SQL.executeInsert 时，文本变量不会自动通过 ' 进行修改，因此插入查询失败：

String value4fa = "I would like to get know"
int value4fb = 2
def query = "INSERT INTO TAB_A (F_A, F_B) VALUES (${value4fa}, ${value4fb})"
sql.executeInsert(query);

如果我自己放置 ' ：

 def query = "INSERT INTO TAB_A (F_A, F_B) VALUES ('${value4fa}', ${value4fb})"

Groovy 通知我引入了一个安全漏洞，因为 Groovy 无法使用PreparedStatement 来执行SQL 查询。

有人能解释一下如何强制 Groovy 正确评估查询主体并准备变量吗？

Answer 1

您不必用任何东西修饰字符串即可将它们自动转换为 PreparedStatement。

sql.execute("INSERT INTO TAB_A (F_A, F_B) VALUES ($value4fa, $value4fb)")

将为所有接受 GString 作为单个参数的方法做正确的事情。 请注意缺少 {}，它是 .toString() 的语法糖。

您引起投诉的原因是，

def query = "INSERT INTO TAB_A (F_A, F_B) VALUES (${value4fa}, ${value4fb})"
sql.execute(query)

与传递GString 直接到该方法。

它在将 query 传递给 .execute() 方法之前应用替换。根据您的示例数据，它将传递以下内容并且替换已经发生。 “INSERT INTO TAB_A (F_A, F_B) VALUES (I would like to get Know, 2)” 这甚至不是有效的 SQL 语句，因为字符串值缺少 ' 围绕它。

这在功能上等同于使用 String.format()、StringBuilder/Buffer.append() 或使用 + 进行普通连接。

Answer 2

我没有测试过这个想法，但是2.4.4的代码 ​​在这里。

execute(String sql, List

鉴于此，请考虑以下示例：

firstName = "yue"
lastName = "wu"
sql.execute("insert into people (firstName, lastName) "+
  " values (?,?)", [firstName, lastName])

如有必要，可以轻松向变量本身（而不是 SQL 字符串）添加单引号。