Обработка SQL-инъекций в HQL-порядке по выражению

Question

существует простой способ обработки SQL-инъекций в Hibernate HQL в порядке предложений.Именованные параметры явно не подходят для этого.

РЕДАКТИРОВАТЬ:

Не стесняйтесь опубликовать свой способ решения этой проблемы.Я хочу видеть решения других людей и учить их.

Спасибо за любые предложения и решения.

Answer 1

Вы можете использовать API критериев Hibernate вместо HQL.

API критериев проверяет, что критерий заказа ссылается на допустимое свойство.

, если вы попытаетесь что-то подобное:1006 *

Вы получите QueryException: "could not resolve property this_ of de.test.DemoEntity", брошенный AbstractPropertyMapping.

Answer 2

Я получил решение, которого хотел избежать.Я реализовал карту, где ключ - это то, что пользователь видит в URL, а значение - это столбец (столбцы) в БД, который следует после предложения ORDER BY.

Answer 3

Hibernate использует PreparedStatement, который уже против SQL-инъекций. В PreparedStatment аргументы привязываются к оператору, а не к выдаче простого SQL-оператора. Вам не нужно беспокоиться о внедрении SQL при использовании hibernate.

Вот поток, который обеспечивает безопасность hibernate от SQL-инъекции Нажмите здесь .