使用 Prepared Statement 设置 LONG 数据类型

Question

我的情况是我需要在某些时候动态创建数据库分区。我正在使用Statement，如下所示：

alter table table_name split partition default_partition values (' +
id + ') into (  partition " + partitionName + ", partition
default_partition) update indexes

这很好用，完全符合我的预期。但是，id 的值来自未经授权的人可能访问的输入。因此，上述语句容易受到 SQL 注入攻击。我想使用PreparedStatement，但我不知道如何使用。

问题是oracle 中的分区表将“id”值放入了一个LONG 的HIGH_VALUE 列。我看不到合适的设置器来执行此操作（因为 String 无法工作）。我尝试使用各种流消息，StringReader 和 ByteArrayInputStream 作为值都无济于事。我知道 LONG 不应该再使用了，但 Oracle 就是这样做的，所以我无法真正绕过它。

当我尝试使用这些方法中的任何一种时，这就是我得到的：

ORA-14308: partition bound element must be one of: string, datetime or interval literal, number, or NULL

Oracle 文档提供了有关如何获取 LONG（Oracle 数据类型，类似于 LOB）的详细信息，但没有关于如何设置它的信息。谁能帮我解决这个问题？我还研究了 JDBC 驱动程序的 Oracle 实现，但它似乎也没有 setLONG 类型的方法。有什么办法可以做到吗？

Answer 1

您不能将绑定变量与 DDL 一起使用。您将无法在 DDL 语句中使用 PreparedStatement 和调用任何 setXXXX 方法。

根据用户输入动态拆分分区至少是一种非常不寻常的设计。我倾向于怀疑像interval partitioning 这样的东西会更好地为您服务，Oracle 在需要时负责创建新分区或散列分区而不是范围分区。假设动态手动创建新分区确实有意义，但是，您必须编写代码来验证“id”和“partitionName”值是否有效，以防止 SQL 注入。

Answer 2

id是String吗，如果是，为什么不先验证一下？

    try {
        id = Long.valueOf(unsafeId);
        //do more validations here
    } catch (NumberFormatException e) {
        throw new RuntimeException("Not a valid input.");
    }