Java SQL注入

Question

在后端数据库中，PostgreSQL函数的调用方式如下：

SELECT * FROM prepend('abcdefg');

从前端Java客户端调用PostgreSQL函数，如下所示：

"SELECT * FROM prepend('?');"

这会导致SQL注入吗？有没有更好的方法？

编辑

我不想使用PreparedStatement。Java 8 Streams怎么样？

Answer 1

使用java.sql.PreparedStatement是最佳选择。这里有一种在您的案例中使用PreparedStatement的方法，

String input = "abcdefg";
PreparedStatement ps = connection.prepareStatement("SELECT * FROM prepend(?)");
ps.setString(1, String.format("%s", input));