JPA Criteria APIで変数とParameterExpressionを使用する場合

Question

JPA Criteria APIを使用する場合、変数に対してParameterExpressionを直接使用する利点は何ですか？例えば。

private List<Customer> findCustomerWithParam(String name) { 
    CriteriaBuilder cb = em.getCriteriaBuilder(); 
    CriteriaQuery<Customer> criteriaQuery = cb.createQuery(Customer.class); 
    Root<Customer> customer = criteriaQuery.from(Customer.class); 
    ParameterExpression<String> nameParameter = cb.parameter(String.class, "name"); 
    criteriaQuery.select(customer).where(cb.equal(customer.get("name"), nameParameter)); 
    return em.createQuery(criteriaQuery).setParameter("name", name).getResultList(); 
} 

簡潔にするため、私は場合は特に、最初の方法を好むだろう：私は文字列変数に名前で顧客を検索したいとき、私はこれになるパラメータを持つ

private List<Customer> findCustomer(String name) { 
    CriteriaBuilder cb = em.getCriteriaBuilder(); 
    CriteriaQuery<Customer> criteriaQuery = cb.createQuery(Customer.class); 
    Root<Customer> customer = criteriaQuery.from(Customer.class); 
    criteriaQuery.select(customer).where(cb.equal(customer.get("name"), name)); 
    return em.createQuery(criteriaQuery).getResultList(); 
} 

のようなものを書くことができますオプションのパラメータでクエリが長くなります。 SQLインジェクションのように、このようなパラメータを使用することの短所はありますか？

Answer 1

JPA実装、使用中のデータストア、およびJDBCドライバに依存する可能性の高いパラメータを使用すると、SQLはJDBCパラメータに最適化されるため、パラメータの値を変えて同じものを実行すると、同じJDBCステートメント。

SQLインジェクションは、パラメータとして使用されているユーザー入力を検証するかどうかに関して、常に開発者に任されています。

Answer 2

あなたは、このようParameterExpressionを使用することができます：あなたは財政コードの値をチェックする必要があなたのクエリで

• ： は例は、この可能性があり、あなたには、いくつかの入力フィルタを持っていることを前提としています。

のは、始めましょう：すべての 最初はcriteriaQueryとcriteriaBuilderとルート

 CriteriaBuilder cb = _em.getCriteriaBuilder(); 
     CriteriaQuery<Tuple> cq = cb.createTupleQuery(); 
     Root<RootEntity> soggettoRoot = cq.from(RootEntity.class); 

1） predicateList inizialize（句の使用）とparamList（パラメータのための使用を作成する）

を

Map<ParameterExpression,String> paramList = new HashMap(); 
List<Predicate> predicateList = new ArrayList<>(); 

）入力がn ULLと作成predicateListとPARAM

if(input.getFilterCF() != null){ 
      //create ParameterExpression 
      ParameterExpression<String> cf = cb.parameter(String.class); 


      //if like clause 
      predicateList.add(cb.like(root.<String>get("cf"), cf)); 
      paramList.put(cf , input.getFilterCF() + "%"); 

      //if equals clause 
      //predicateList.add(cb.equal(root.get("cf"), cf)); 
      //paramList.put(cf,input.getFilterCF()()); 
     } 

）がIは、一般的にJPAのために話すことができないwhere句

cq.where(cb.and(predicateList.toArray(new Predicate[predicateList.size()]))); 
TypedQuery<Tuple> q = _em.createQuery(cq); 

）設定PARAM値

 for(Map.Entry<ParameterExpression,String> entry : paramList.entrySet()) 
     { 
      q.setParameter(entry.getKey(), entry.getValue()); 
     }