przy użyciu wyrażenia ParameterExpression w porównaniu z JPA Criteria API

Question

Podczas korzystania z interfejsu API JPA Criteria, jaka jest zaleta bezpośredniego używania parametru ParameterExpression? Na przykład. kiedy chcą, aby szukać klienta wg nazwy w zmiennej String, mogę napisać coś podobnego

private List<Customer> findCustomer(String name) { 
    CriteriaBuilder cb = em.getCriteriaBuilder(); 
    CriteriaQuery<Customer> criteriaQuery = cb.createQuery(Customer.class); 
    Root<Customer> customer = criteriaQuery.from(Customer.class); 
    criteriaQuery.select(customer).where(cb.equal(customer.get("name"), name)); 
    return em.createQuery(criteriaQuery).getResultList(); 
} 

z parametrami staje:

private List<Customer> findCustomerWithParam(String name) { 
    CriteriaBuilder cb = em.getCriteriaBuilder(); 
    CriteriaQuery<Customer> criteriaQuery = cb.createQuery(Customer.class); 
    Root<Customer> customer = criteriaQuery.from(Customer.class); 
    ParameterExpression<String> nameParameter = cb.parameter(String.class, "name"); 
    criteriaQuery.select(customer).where(cb.equal(customer.get("name"), nameParameter)); 
    return em.createQuery(criteriaQuery).setParameter("name", name).getResultList(); 
} 

Dla zwięzłości wolałbym pierwszą drogę, zwłaszcza gdy zapytanie staje się dłuższe z opcjonalnymi parametrami. Czy są jakieś wady używania takich parametrów, jak SQL injection?

Answer 1

Podczas używania parametru prawdopodobnie (w zależności od implementacji JPA, magazynu danych w użyciu i sterownika JDBC) SQL zostanie zoptymalizowany do parametru JDBC, więc jeśli wykonasz to samo z inną wartością parametru, użyje on ta sama instrukcja JDBC.

Injection SQL jest zawsze w gestii programisty, jeśli sprawdza, czy niektóre dane wejściowe użytkownika są używane jako parametr.

Answer 2

można użyć ParameterExpression tak: Zakładamy, że masz jakiś filtr wejściowy, przykładem może być to:

• w zapytaniu trzeba sprawdzić wartość kodeksu podatkowego.

zacznijmy: przede wszystkim tworzyć criteriaQuery i criteriaBuilder i korzeń

 CriteriaBuilder cb = _em.getCriteriaBuilder(); 
     CriteriaQuery<Tuple> cq = cb.createTupleQuery(); 
     Root<RootEntity> soggettoRoot = cq.from(RootEntity.class); 

1) inizialize w predicateList (używana dla where clause) oraz paramList (używana dla param)

Map<ParameterExpression,String> paramList = new HashMap(); 
List<Predicate> predicateList = new ArrayList<>(); 

) sprawdź, czy wejście ma wartość n ull i tworzyć predicateList i param

if(input.getFilterCF() != null){ 
      //create ParameterExpression 
      ParameterExpression<String> cf = cb.parameter(String.class); 


      //if like clause 
      predicateList.add(cb.like(root.<String>get("cf"), cf)); 
      paramList.put(cf , input.getFilterCF() + "%"); 

      //if equals clause 
      //predicateList.add(cb.equal(root.get("cf"), cf)); 
      //paramList.put(cf,input.getFilterCF()()); 
     } 

) stworzenie klauzuli WHERE

cq.where(cb.and(predicateList.toArray(new Predicate[predicateList.size()]))); 
TypedQuery<Tuple> q = _em.createQuery(cq); 

) zestaw wartości param

 for(Map.Entry<ParameterExpression,String> entry : paramList.entrySet()) 
     { 
      q.setParameter(entry.getKey(), entry.getValue()); 
     }