使用准备语句的可变列名

Question

使用准备语句的可变列名我想知道是否存在使用准备好的语句指定返回的列名。我正在使用MySQL和Java。当我尝试的时候：String columnNames="d,e,f"; //Actually from the user...String name = "some_table";  //From user...String query = "SELECT a,b,c,? FROM " + name + " WHERE d=?"; //...stmt = conn.prepareStatement(query);stmt.setString(1, columnNames);stmt.setString(2, "x");我得到这种类型的语句(在执行之前打印)。SELECT a,b,c,'d,e,f' FROM some_table WHERE d='x'不过，我希望看到：SELECT a,b,c,d,e,f FROM some_table WHERE d='x'我知道我不能像前面提到的那样，对表名这样做。这里，但我想知道是否有什么方法可以用于列名。如果没有，那么我只需要尝试并确保我清理了输入，这样它就不会导致SQL注入漏洞。

Answer 1

这表明DB设计错误。用户不需要知道列名。创建一个包含这些“列名”的真正DB列，并将数据存储在其中。

无论如何，不能将列名设置为PreparedStatement价值。只能设置列。价值如PreparedStatement价值

如果您想继续这个方向，您需要清理列名并自己连接/构建SQL字符串。引用单独的列名并使用String#replace()若要在列名中转义相同的引号，请执行以下操作。

Answer 2

我认为这种情况不能工作，因为准备好的语句的全部目的是防止用户输入未转义的查询位，所以您总是会引用或转义文本。

如果要安全地影响查询结构，则需要使用Java对此输入进行清理。

Answer 3

public void MethodName(String strFieldName1, String strFieldName2, String strTableName)

{

//Code to connect with database

String strSQLQuery=String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName);

st=conn.createStatement();

rs=st.executeQuery(strSQLQuery);

//rest code

}