SQLインジェクションの欠陥を導入せずにHibernate Java Webサービスで新しいテーブルを作成するにはどうしたらいいですか？

Question

私は、Hibernateを使用するJava Webサービスを持っています。そのメソッドの1つは、SQL Serverで新しいテーブルを作成するように設計されており、そのテーブルはオブジェクトにマップされていません。現在のデザインでは、データベース名、スキーマ名、テーブル名、およびフィールド定義を引数として受け取り、それらからクエリ文字列を作成して実行します。それは正常に動作しますが、SQLインジェクションの欠陥です。

パラメータ化クエリを使用して、インスタンスのために、この欠陥を導入するか、私は知らない休止状態にあるいくつかの機能を使用せずにテーブルを作成する方法はありますか？

欠陥がcreateSQLQueryへの呼び出しで行わ：

String sSql = "CREATE TABLE [" + sDatabaseName + "].[" + sSchema + "].[" + sTableName + "] (" + sSqlFields + ")"; 
Session session = getSession(); 
Query q = session.createSQLQuery(sSql); 
q.executeUpdate(); 

Answer 1

それが可能です。

String sSql = "CREATE TABLE [ ? ].[ ? ].[ ? ] (?)"; 
Query q = session.createQuery(sSql); 
q.setString(0, sDatabaseName) 
.setString(1, sSchema) 
.setString(2, sTableName) 
.setString(3, sSqlFields) 
.executeUpdate();