PreparedStatement setString IN 传多个参数

最新推荐文章于 2021-02-24 09:15:42 发布

转载最新推荐文章于 2021-02-24 09:15:42 发布 · 2k 阅读

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/a565810497/p/10827154.html

在使用PreparedStatement处理IN操作时，直接传入以逗号分隔的字符串会导致查询错误。预编译的SQL不接受字符串如'a,b,c'，而是将其视为一个整体。解决方法是手动替换逗号并添加单引号，或者根据分隔符创建对应数量的占位符，并将字符串切割成多个参数进行传入。对于PG数据库，此问题尤其需要注意。" 112223727,10545308,延时摄影技巧：用C语言计算日出日落时间,"['C语言编程', '摄影技巧', '延时摄影', '设备推荐', '日出日落摄影']

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

今天在使用PreparedStatement进行预编译时，发现使用IN(String) 传入一个字符串一逗号为分隔符却失效，例如传入"a,b,c", 查询的不是"a" "b" "c"三个数据，而是"a,b,c"一个数据

SELECT d.* FROM TLK_列表_分页 d WHERE 1=1  AND ITEM_多行文本二 IN ( ?)

这条语句中的参数在使用PrepareStatement来预编译之后，是不可以传入一个拼接字符串的，比如

String test="'a','b','c'";
prepareStatement.setString(1,test);

想要达到执行效果

SELECT d.* FROM TLK_列表_分页 d WHERE 1=1  AND ITEM_多行文本二 IN ('a','b','c')

但是实际执行的sql语句是：

SELECT d.* FROM TLK_列表_分页 d WHERE 1=1  AND ITEM_多行文本二 IN ('a'',''b'',''c')

它不是查询 'a','b','c'这三个元素，而是查询'a,b,c,'这一个元素，所以达不到预期的效果

后来想过既然它插入的字符串是逗号两边少了单引号的话我就replace把 ","换成" ',' "

这样以后实际执行的sql语句是：

SELECT d.* FROM TLK_列表_分页 d WHERE 1=1  AND ITEM_多行文本二 IN ('a'',''b'',''c')

单引号变成了双引号，其实是sql防注入起了作用，它对单引号自动进行了转义 ' 变成了 '' 给单引号加多一个引号进行了转义。

于是只好使用笨办法，

String test里面有几个参数，那就有几个占位符？

就是当 String test="'a','b','c'"; 有两个逗号时，sql就应该是：

SELECT d.* FROM TLK_列表_分页 d WHERE 1=1  AND ITEM_多行文本二 IN ( ?,?,?)

这样就OK了。

添加占位符的代码如下：

        
                String temp = "IN ( ? ";
　　　　　　　　　　//判断逗号出现的次数
                int n = test.length() - test.replaceAll(",", "").length();
           //根据参数的数量决定占位符的数量
                    if (sql.contains(temp)) {
　　　　　　　　　　　　//循环添加占位符的次数要比逗号出现的次数多一次，即参数的数量。
                        for (int i = 0; i < n; i++) {
                            sql = sql.replace(temp, temp + ",?");
                            temp = temp + ",?";
                        }
                    }
                
            }

这样为sql添加了对应的占位符后，如果不把test字符串进行切割，依然会报错，因为如果进行了添加占位符，你的sql变成了

SELECT d.* FROM TLK_列表_分页 d WHERE 1=1  AND ITEM_多行文本二 IN ( ?,?,?)

这样你就需要传入三个参数，仅仅是传入“a,b,c”的话是满足不了条件的。

     List<Object> sqlParameters;

 if (text.contains(",")) {
                int n = text.length() - text.replaceAll(",", "").length();
                //切割参数添加到sqlParameters
                for (int i = 0; i <= n; i++) {
                    String s = text.split(",")[i];
                    sqlParameters.add(i, text.split(",")[i]);
                }
                //添加完切割的参数后删除原来未切割的参数
                sqlParameters.remove(text);
            }

用List切割完以后就可以传入数据了。

 for (Object sqlParameter : sqlParameters) {
                parameterIndex++;
                if (sqlParameter instanceof String) {
                    preparedStatement.setString(parameterIndex, (String) sqlParameter);
                }

这个写法是可以满足PG数据库的

可以参考网站：https://blog.youkuaiyun.com/lismooth/article/details/76934980

转载于:https://www.cnblogs.com/a565810497/p/10827154.html