将 SQL 语句从命令行传递到 Java 代码

Question

我正在编写代码，在其中创建 JDBC 连接并执行 select 语句。我想作为一个 jar 运行并从命令行为 eg 的 where 条件提供输入java -jar abc.jar "abc"。如何才能做到这一点？

try {

    strExecuteQuery = "select b.FIUSB_REQUEST_MESSAGE,b.FIUSB_RESPONSE_MESSAGE,a.fiusb_tran_id,a.FIUSB_SRV_REQ_TYPE"

        + " from fimaster.fiusb_transaction_tablehist a ,fimaster.FIUSB_TRANDETAILS_TABLE_HIST b"

        + " where a.fiusb_tran_id = b.fiusb_tran_id and a.FIUSB_SRV_REQ_TYPE in('XferTrnRev','XferTrnAdd','PmtAdd') and a.fe_req_ref_num='args1'";

    //PreparedStatement stmt=con.prepareStatement(strExecuteQuery);

    //strExecuteQuery.getClass();

    ddlStatement.execute(strExecuteQuery);

    ddlStatement.closeConnection();

我想把上面代码中的args1作为命令行中的输入

Answer 1

简单（而且不安全！）的方法是这样的：// package declaration// imports public class Main {    public static void main(String[] args) {        if (args.length >= 1) {            String query = "select FOO from BLAH a where a.BAZ = '"                 + args[0] + "'";            Connection connection = ...            Statement statement = connection.createStatement();            ResultSet rs = statement.execute(query);            // etcetera        } else {            // report missing command line argument.        }    }}问题是通过字符串连接组装 SQL 查询容易受到SQL 注入攻击。特别是当某些“参数”可能来自不可信的来源时。因此，更好（更安全）的方法是使用PreparedStatement, 及其语法安全的参数替换机制：// package declaration// imports public class Main {    public static void main(String[] args) {        if (args.length >= 1) {            String query = "select FOO from BLAH a where a.BAZ = ?";            Connection connection = ...            PreparedStatement statement = connection.createPreparedStatement(query);            statement.setString(1, args[0]);            ResultSet rs = statement.execute();            // etcetera        } else {            // report missing command line argument.        }    }}

Answer 2

如果您从终端执行命令，则该语句应传递到 main 方法的 String[] args 参数中的代码中，您应该能够从中在代码中引用它。