標籤：
hibernate HQL查詢的參數綁定(2010-07-15 09:20:16)
轉載▼
參數綁定：
Hibernate中對動態查詢參數綁定提供了豐富的支援，那麼什麼是查詢參數動態綁定呢？其實如果我們熟悉傳統JDBC編程的話，我們就不難理解查詢參數動態綁定，如下代碼傳統JDBC的參數綁定：
PrepareStatement pre=connection.prepare(“select * from User where user.name=?”);
pre.setString(1,”zhaoxin”);
ResultSet rs=pre.executeQuery();
在Hibernate中也提供了類似這種的查詢參數綁定功能，而且在Hibernate中對這個功能還提供了比傳統JDBC操作豐富的多的特性，在Hibernate中共存在4種參數綁定的方式，下面我們將分別介紹：
A、按參數名稱綁定：
在HQL語句中定義具名引數要用”:”開頭，形式如下：
Query query=session.createQuery(“from User user where
user.name=:customername and
user:customerage=:age ”);
query.setString(“customername”,name);
query.setInteger(“customerage”,age);
上面代碼中用:customername和:customerage分別定義了具名引數customername和customerage，然後用Query介面的setXXX()方法設定名參數值，setXXX()方法包含兩個參數，分別是具名引數名稱和具名引數實際值。
B、按參數位置邦定：
在HQL查詢語句中用”?”來定義參數位置，形式如下：
Query query=session.createQuery(“from User user where
user.name=? and
user.age =? ”);
query.setString(0,name);
query.setInteger(1,age);
同樣使用setXXX()方法設定綁定參數，只不過這時setXXX()方法的第一個參數代表邦定參數在HQL語句中出現的位置編號（由0開始編號），第二個參數仍然代表參數實際值。
註：在實際開發中，提倡使用按名稱邦定具名引數，因為這不但可以提供非常好的程式可讀性，而且也提高了程式的易維護性，因為當查詢參數的位置發生改變時，按名稱邦定名參數的方式中是不需要調整程式碼的。
C、 setParameter()方法：
在Hibernate的HQL查詢中可以通過setParameter()方法邦定任意類型的參數，如下代碼：
String hql=”from User user where user.
name=:customername ”;
Query query=session.createQuery(hql);
query.setParameter(“customername”,name,Hibernate.STRING);
如上面代碼所示，setParameter()方法包含三個參數，分別是具名引數名稱，具名引數實際值，以及具名引數映射類型。對於某些參數類型setParameter()方法可以根據參數值的Java類型，猜測出對應的映射類型，因此這時不需要顯示寫出映射類型，像上面的例子，可以直接這樣寫：
query.setParameter(“customername”,name);但是對於一些類型就必須寫明映射類型，比如java.util.Date類型，因為它會對應Hibernate
的多種映射類型，比如Hibernate.DATA或者Hibernate.TIMESTAMP。
D、 setProperties()
方法：(
setEntity())
在Hibernate中可以使用setProperties()方法，將具名引數與一個對象的屬性值綁定在一起，如下程式碼：
Customer customer=new Customer();
customer.setName(“pansl”);
customer.setAge(80);
Query query=session.createQuery(“from Customer c where
c.name=:name and
c.age=:age ”);
query.setProperties(customer);
setProperties()方法會自動將customer對象執行個體的屬性值匹配到具名引數上，但是要求命名
參數名稱必須要與
實體物件相應的屬性同名。
這裡還有一個特殊的
setEntity()方法，它會把
具名引數與一個
持久化對象相關聯，如下面代碼所示：
Customer customer
=(Customer)session.load(Customer.class,
”1”);
Query query=session.createQuery(“from Order order where
order.customer=:customer ”);
query. setEntity(“customer”,customer);
List list=query.list();
上面的代碼會產生類似如下的SQL語句：
Select * from order where customer_ID=’1’;
E、使用綁定參數的優勢：
我們為什麼要使用綁定具名引數？任何一個事物的存在都是有其價值的，具體到綁定參數對於HQL查詢來說，主要有以下兩個主要優勢：
①、可以利用資料庫實施效能最佳化，因為對Hibernate來說在底層使用的是PrepareStatement來完成查詢，因此對於文法相同參數不同的SQL語句，可以充分利用先行編譯SQL語句緩衝，從而提升查詢效率。
②、可以防止SQL Injection安全性漏洞的產生：
SQL Injection是一種專門針對SQL語句拼裝的攻擊方式，比如對於我們常見的使用者登入，在登入介面上，使用者輸入使用者名稱和口令，這時登入驗證程式可能會產生如下的HQL語句：
“from User user where user.name=’”+name+”’ and user.password=’”+password+”’ ”
這個HQL語句從邏輯上來說是沒有任何問題的，這個登入驗證功能在一般情況下也是會正確完成的，但是如果在登入時在使用者名稱中輸入”zhaoxin or ‘x’=’x”,這時如果使用簡單的HQL語句的字串拼裝，就會產生如下的HQL語句：
“from User user where user.name=’zhaoxin’ or ‘x’=’x’ and user.password=’admin’ ”;
顯然這條HQL語句的where字句將會永遠為真，而使使用者口令的作用失去意義，這就是SQL Injection攻擊的基本原理。
而使用綁定參數方式，就可以妥善處理這問題,當使用綁定參數時，會得到下面的HQL語句：
from User user where user.name=’’zhaoxin’’ or ‘’x=’’x’’ ‘ and user.password=’admin’;由此可見使用綁定參數會將使用者名稱中輸入的單引號解析成字串（如果想在字串中包含單引號，應使用重複單引號形式），所以參數綁定能夠有效防止SQL Injection安全性漏洞。
HQL參數綁定
