如何“优雅”地生成字符串在Java中？

Question

我想生成一个字符串，例如 sql 命令：

   "INSERT INTO xxx VALUES(XXX, XXX, XXX)"

目前我使用 StringBuilder 和一些 String 常量（如“INSERT INTO”）来连接表名称和插入值的输入字符串参数。

然而，除了性能问题之外，这种简单的串联看起来并不优雅。 还有其他方法可以做到这一点吗？

在我看来，JDBC 的准备语句就是这种“命令模板”的一个很好的例子：

PreparedStatement pstmt=connection.createPreparedStatement("INSERT INTO ? VALUES(?,?,?)");

然后您可以设置表名和插入的值。

pstmt.setString(1,"tableA");
pstmt.setInt(2, 100);
...

但是，我不能使用准备好的语句，因为我想要的只是字符串...

并且有人给了我一些使用 java.util.Regex 或 JavaCC 来生成字符串的提示。 但据我所知，无论为某些代码优雅问题选择什么，Java String 都必须由诸如 StringBuilder 之类的东西生成，对吗？？？

Answer 1

您可以使用 String.format()：

String.format("insert into %s values('%s', '%s', '%s')", "user", "user123", "pass123", "yellow");

但值得注意的是，任何这些“字符串构建”技术都会让您容易受到 SQL 注入攻击。您确实应该尽可能使用 JDBC 参数化查询。

编辑以在字符串周围添加引号。

Answer 2

也许您正在寻找 java.text.MessageFormat< /a>

 int planet = 7;
 String event = "a disturbance in the Force";

 String result = MessageFormat.format(
     "At {1,time} on {1,date}, there was {2} on planet {0,number,integer}.",
     planet, new Date(), event);

Answer 3

您是否尝试过仅使用“+”？

String sql = "INSERT INTO " + table
           +" VALUES(" + value1 + ", " + value2 + ", " = value3+")";

Answer 4

考虑到其他各种答案，但没有一个得到您的认可，也许您应该接受实际的字符串生成（无 JPA、PreparedStatement 等）将相当不优雅，并创建一个带有静态 sql 生成器的实用程序类。

编辑 显示一个示例，说明如果无法选择预先存在的类（例如PreparedStatement），我将如何处理此问题。它不是最优雅的，但它做了它应该做的事情（假设我正确地输入了所有内容）。

public class SQLUtil {
    public static String generateInsertSQL(String tableName, List<CustomParameter> parmList){
        StringBuilder sb = new Stringbuilder();
        sb.append("insert into ");
        sb.append(tableName);
        sb.append(" values (");
        for (int i = 0; i < parmList.size(); i++){
            customParameter parm = parmList.get(i);
            switch (parm.getType()) { // enum with your desired sql types
                case ParmTypes.String:
                    sb.append("'");
                    sb.append(StringEscapeUtils.escapeSql(String.valueOf(parm.getValue())));
                    sb.append("'");
                    break;
                case ParmTypes.Integer:
                    sb.append(Integer.valueOf(parm.getValue()));
                    break;
            }
            if (i < parmList.size() - 1) sb.append(",");
        }
        sb.append(")");
        return sb.toString();
    }
}

这样，您的业务代码将保持相对优雅，并且您可以随心所欲地使用 SQL 字符串生成。您还可以使用它来“保证”您的所有插入免受 SQL 注入等攻击。

Answer 5

使用 StringTemplate (http://www.stringtemplate.org/) 也许是一个不错的选择：

这看起来更好，对吧？

StringTemplate insert = new StringTemplate("INSERT $table$ VALUES ($value; separator=\",\"$)");
insert.setAttribute("table", "aTable");
String[] values = {"1", "1", "'aaa'", "'bbb'"};
for(int i = 0;i < values.length;i++){   
  insert.setAttribute("value", values[i]);  
}
System.out.println(insert.toString());