Anorm 返回 0 个结果，而 psql 返回 2 个结果

Question

我正在通过 AJAX 为搜索栏提供动力，该搜索栏传递了与数据库列相关的选定过滤器（单选按钮）和搜索栏中输入的任何内容的搜索字符串。我正在使用的 scala/play/anorm 代码是这样的：

def searchDB(searchString: String, filter: String): List[DatabaseResult] = {
DB.withConnection { implicit c =>
  SQL(
    """
      SELECT name, email, emailsecondary, picture, linkedin, title, company, companylink, companydesc, location, github, stackoverflow, twitter, blog
      FROM mailinglistperson
      WHERE {filter} LIKE '%{searchString}%'
    """).on(
          'filter -> filter,
          'searchString -> searchString
    ).as(databaseResultParser.*)
}

}

当我使用与上述异常代码同构的psql 在数据库 (PostgreSQL) 上运行查询时，它返回 2 个结果，即：

select id, name, email from mailinglistperson where company like '%kixer%';

但是当传递完全相同的值时，异常代码返回 0 个结果（我已经通过 println 验证了这些值）

编辑：当我切换异常代码以使用字符串插值时，我得到：

[error] - play.core.server.netty.PlayDefaultUpstreamHandler - Cannot invoke the action
 java.lang.RuntimeException: No parameter value for placeholder: 3

EDIT2：我还尝试将 '%...%' 与 searchString 一起传递给 LIKE，但仍然得到 0 个结果。

Answer 1

有两个问题 - 列名和过滤器值

---

至于过滤器值：你必须省略SQL命令中的单个刻度，你应该在参数中传递占位符“%”。如果是字符串，刻度会自动处理。

---

至于列名：它就像一个字符串参数，所以再次自动处理滴答声：

[debug] c.j.b.PreparedStatementHandle - select ... from ... where 'filter' like '%aaa%'

一种解决方案：使用普通字符串插值s"""... $filter ..."""。

---

大家一起：

SQL(
  s"""
    SELECT name, email, ...
    FROM mailinglistperson
    WHERE $filter LIKE {searchString}
  """).on(
      'searchString -> "%" + searchString + "%"
  ).as(databaseResultParser.*)

但这之前应该附有支票，例如

val validColumns = List("name", "email")
if (validColumns.contains(filter)) == false) {
  throw new IllegalArgumentException("...")
}

防止 SQL 注入。

---

更新

正如 cchantep 所指出的：如果使用 Anorm >= 2.4，则可以使用混合插值（对于列名和值）：

SQL"... WHERE #$filter LIKE $searchString"

在这种情况下，它对 SQL 注入是部分安全的：仅覆盖值，不覆盖列名。

更新 2

关于记录 SQL 语句，见Where to see the logged sql statements in play2?

但是当您使用 PostgreSQL 时，我建议您使用明确的来源：The PostgreSQL log: In postgresql.conf:

log_statement = 'all' # none, ddl, mod, all

然后您将在 PostgreSQL 日志文件中看到如下内容：

LOG: select * from test50 where name like $1

细节：参数：$1 = '%aaa'