我有如下的sql语句:

Select i.imageID, theImage, translationRating
From images i
inner join translationchains  t
on t.imageId = i.imageid
where i.userID=(someUserID) And i.translated =0 
and t.targetLang in (select targetLang from translationChains)

我想让它成为在我的 java 代码中使用的准备好的语句:

Select i.imageID, theImage, translationRating
From images i
inner join translationchains  t
on t.imageId = i.imageid
where i.userID=? And i.translated =0 
and t.targetLang in (select ? from translationChains)

第一个的输入？是一个用户 ID(整数)，它工作正常。

第二个输入是一个包含 languageId 的字符串 - 它是一个包含表示语言的数字的字符串，或者包含列名称的字符串“targetLang”(=所有语言)

在我的 java 代码中我做了以下事情:

Image.setInt(1, userID);
Image.setString(2, langID);
Image.executeQuery()

我的问题是当我发送字符串“targetLang”作为第二个参数时 准备好的语句将其作为“targetLang”(带有“之前和之后”)插入，对于数字这不是问题，因为 3='3'，但是对于字符串，它给出了与我需要的不同的结果——我总是得到一个空结果集，因为没有任何内容等于“targetLang”。 我需要将这个字符串插入到没有 '. 有可能还是我需要使用不同于准备好的语句的东西？

我知道我可以构建一个包含所有这些查询的字符串，但我正在寻找更优雅的东西 发送

编辑:

这是创建表 translationChains:

Create Table if not exists TranslationChains (
  ImageID int (10) NOT NULL,  
  SourceLang int NOT NULL,
  TargetLang int NOT NULL,
  Translated tinyint default 0,
  Translation text,
  Translator varchar (30),
  CONSTRAINT translate_image PRIMARY KEY (ImageID,SourceLang, TargetLang),
  FOREIGN KEY (ImageID) REFERENCES Images(ImageID) ON DELETE CASCADE,
  FOREIGN KEY (SourceLang) REFERENCES Languages(languageID) ON DELETE CASCADE,
  FOREIGN KEY (TargetLang) REFERENCES Languages(languageID) ON DELETE CASCADE)

如您所见，我正在尝试根据“targetLang”列(一个 int 列)拍摄图像。每个数字代表一种语言。

现在我有两个选项可以从该表中选择图像:

• 选择一种特定的语言，即给出一个数字作为第二个输入。
• 选择所有语言，即将第二个输入设置为列名“targetLang”。

所以我不是在与固定字符串“targetLang”进行比较。我想为此列选择所有可能的值(从 translationChains 中选择 targetLang)。

最佳答案

查询参数只能代替文字值——即您通常放置带引号的字符串文字、带引号的日期文字或数字文字的地方。因此，字符串值总是被解释为字符串文字，就好像您用单引号将它放入查询中一样。

对于列名、表名、SQL 表达式、SQL 关键字等，您必须在调用 prepare() 之前将这些值插入到 SQL 查询中。

为了最安全，请使用白名单，这样用户输入就不会逐字插入到 SQL 查询中。在查询中使用之前始终验证用户输入(或任何其他内容)。

我有written many examples构建 SQL 查询时的白名单。

您还可以在我的演示文稿中查看示例 SQL Injection Myths and Fallacies和我的书 SQL Antipatterns Volume 1: Avoiding the Pitfalls of Database Programming .

回复你的评论:

我不确定你在做什么。听起来您要么希望 t.targetLang 等于文字数字，要么希望固定字符串 'targetLang'。如果是这样，我根本不知道您为什么要执行子查询——您应该只使用一个查询参数作为一个值:

where i.userID = ? And i.translated = 0 
and t.targetLang = ?

Image.setString(2, langID); // either '3' or 'targetLang'

但我不确定我是否完全理解您的描述。该数字是否代表您要比较的列的位置？与 t.targetLang 在同一行？如果是这样，我仍然认为您不需要子查询。您可以使用如下表达式:

where i.userID = ? And i.translated = 0 
and FIELD(t.targetLang, t.targetLang, t.column2, t.column3, t.column4) = ?

Image.setString(2, '1'); // for the case where you allow all langs
Image.setString(2, '3'); // for the case where you want to match a specific column.

请参阅 FIELD() 上的手册MySQL 中的函数，它在表达式列表中搜索第一个参数。它返回匹配的字段的整数位置。

使用此方法，您可以传递您希望 t.targetLang 匹配的位置，这允许您将动态部分作为值而不是列名传递。它还允许您避免子查询。

如果我仍然有误并且不理解您的问题，请编辑您的原始问题并提供更多详细信息。 SHOW CREATE TABLE translationChains 会有所帮助。你也能回答一些我不得不做出假设的事情吗？您是否尝试将 t.targetLang 与另一列中的值进行匹配在同一行？

好的，现在我更了解你的目标了。这是一个执行您想要的操作的查询:

SELECT i.imageID, theImage, translationRating 来自图像我 INNER JOIN 翻译链 t ON t.imageId = i.imageid 哪里 i.userID = ？ AND i.translated = 0 和 ？ IN (t.targetLang, 'targetLang')

您可以作为第二个参数传递一个与 t.targetLang 匹配的整数，或者将与谓词中的值 'targetLang' 匹配的文字字符串“targetLang”。

不过，我不推荐这个解决方案，因为它可能不会很好地使用索引，它可能必须通过将字符串参数与整数列进行比较来执行类型转换。

当您想要匹配所有语言时，更好的做法是在 WHERE 子句中不带执行查询的最后一项。也就是说，在您的应用程序中，仅当您希望查询获取特定语言时，才有条件地附加该术语。否则，省略该术语并跳过 Image.setString()。

String sql = "SELECT i.imageID, theImage, translationRating
FROM Images i
INNER JOIN TranslationChains t
  ON t.imageId = i.imageid
WHERE i.userID = ? AND i.translated = 0 ";

if (langId) {
  sql += " AND ? IN (t.targetLang, 'targetLang')";
}

. . .

Image.setInt(1, userID);
if (langId) {
  Image.setString(2, langID);
}
Image.executeQuery()

关于mysql - 在没有 ' ' 的情况下将字符串插入准备好的语句，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/15818819/