当查询作为Java中方法的参数出现时，如何避免SQL注入？

Question

public static RepositoryItem[] executeQuery(Repository repository, String query,Object[] params)
{
    RepositoryItem[] data = null;

    try {
        RepositoryView repositoryView = repository.getView(viewName);
        RqlStatement statement = RqlStatement.parseRqlStatement(query);
    }
}

查询是参数化查询。

Answer 1

根据您使用的数据库，您可以使用具有只读访问权限的用户的凭据来定义SQL连接或DBConnectionPool。 任何未经授权的声明都将被DBMS拒绝。