命名参数查询如何阻止 SQL 注入

Question

我在How to prevent SQL Injection in hibernate? 看到了 HQL SQL 注入主题。但是我不明白Query.setParameter("<parameter name>",<parameter value>)是怎么回事

消除 SQL 注入， 如果恶意用户将true = true传递给关注HQL，String hqlString = "from Item item where name= '"+nameValue+"'";

那么他也可以将它传递给query.setString("name"+ nameValue)！ setString() 及其所有姊妹方法是否有任何过滤器来检查 SQL 注入？

Answer 1

JDBC 或 Hibernate 驱动程序会在执行查询之前适当地转义这些数据；确保数据被用作数据。

在执行查询之前，驱动会转义如下字符：

1. ;（查询分隔符。）
2. '（字符数据字符串分隔符。）
3. --（注释分隔符。）