JdbcTemplate - 替換問號

Question

我有一個SQL查詢。

String sql = "SELECT ? FROM Users WHERE Lastname=?"; 

我使用的方法的queryForList從JdbcTemplate的

Object [] myparams = {"name", "Doe"}; 
int [] mytypes = {Types.VARCHAR, Types.VARCHAR}; 
List<Map<String,Object>> listOfMaps = jdbc.queryForList(sql, myparams, mytypes); 

輸出不正確，因爲不存在與第一問號的問題。我認爲這個問號會被myparams數組中的參數取代，但它並沒有以這種方式工作。

是否有可能做我想達到的目的，但不是通過手動添加參數到字符串？

Answer 1

只能將問號用於where語句中的參數。

Answer 2

JDBC和Spring都沒有提供從小塊構建SQL查詢的方法。

您可以嘗試使用特殊圖案來標記要替換的部件。一般來說這是不好的做法（由於可能的SQL注入攻擊）

String sql = "SELECT ${columns} FROM Users WHERE Lastname=?" 
    .replace("${columns}", "name"); 

對於這個是安全的，你必須確保"name"不能被攻擊者注入。嘗試使用字符串常量（final static String）或枚舉。切勿接受來自外部的值（網絡瀏覽器，環境變量）而不驗證它們。