上网浏览帖子发现一个关于SQL中的in里面的参数动态添加的问题。通常in里面的参数通过一个子查询获得与该参数相同类型或者可互转换的类型的一个字段信息。实际中经常会用到有个数组，该数组的内容正好是作为in里面的参数列表。通过SQL拼接的方式一定能够实现，即便看起来比较繁..
分类：
数据库 时间：
2014-11-15 20:23:24
阅读次数：
474
java防SQL注入,最简单的办法是杜绝SQL拼接,SQL注入攻击能得逞是因为在原有SQL语句中加入了新的逻辑，如果使用 PreparedStatement来代替Statement来执行SQL语句，其后只是输入参数，SQL注入攻击手段将无效，这是因为 PreparedStatement不允许在不同的...
分类：
数据库 时间：
2014-10-16 18:23:42
阅读次数：
238
有时间我们在使用in或者or进行查询时，为了加快速度，可能会经常这样来使用sql之间的拼接，然后直接导入到一个in中，这种查询实际上性能上还是可以的，
例如如下：update keyword set stats=? where taskid in ('"+CollUtil.toString(list, "','")+"') "当然这个in里面包含的是一些列的数据（）但是如果这些数据中包含一些sq...
分类：
数据库 时间：
2014-09-27 17:23:50
阅读次数：
208
Hibernate 的SQLQuery接口addScalar方法 查询pojo对象数据（使用原生sql查询）；
sql拼接中使用到 in('201409','201408')语法；
createSQLQuery 和createQuery接口...
分类：
数据库 时间：
2014-09-23 22:46:15
阅读次数：
255
