カラム名を プレースホルダにしたい

Question

JDBCで条件検索をより深く設定したいのですが
どうしても結果が出ません･･･
最終的には条件を絞ったテーブル一覧を出したいだけです。

SQL文でDBを確認するとテーブルが見れるのですが
Javaにいれたら全く見えましぇん

・カラム名をプレースホルダに入れたい
・昇順降順の指示をプレースホルダに入れたい

	public static List<P> list(String a, String n, String c) {
		Connection connection = null;
		PreparedStatement preparedStatement = null;
		List<P> p = new ArrayList<P>();

		try {

			connection = getConnection();
			preparedStatement = connection.prepareStatement(
					"SELECT * FROM P_TABLE WHERE A_NAME LIKE ? ORDER BY ? ?");
			preparedStatement.setString(1, a + "%");
			preparedStatement.setString(2,b);
			preparedStatement.setString(3,c);

			ResultSet resultSet = preparedStatement.executeQuery();

			while (resultSet.next()) {

1.preparedStatement.setString(2,b);
カラム名を引数としてもってきたい

2.preparedStatement.setString(3,c);
変数に"desc"または"asc"を持たせて変数を入れたい

どうぞよろしくお願いいたします

HRU

Answer 1

gentaroさんのコメント「変数にしたいなら変数にすれば良い」から
変数にしてみたら、自分の欲しい情報が取得できてソートできました。

根本的なルールを学ぶことは大切だと感じました。
このような質問にお付き合いいただきありがとうございました。

public static List<P> list(String a, String n, String c) {
        Connection connection = null;
        PreparedStatement preparedStatement = null;
        List<P> p = new ArrayList<P>();

        try {

            connection = getConnection();
            preparedStatement = connection.prepareStatement(
                    "SELECT * FROM P_TABLE WHERE A_NAME LIKE ? ORDER BY " + n + " " + c);
            preparedStatement.setString(1, a + "%");
            //preparedStatement.setString(2,b);
            //preparedStatement.setString(3,c);

            ResultSet resultSet = preparedStatement.executeQuery();

Answer 2

そもそもDB名、テーブル名、カラム名はプレースホルダーのロジックにそぐわないので無理です

もしやるならこんな手順でしょうか

• 受け取ったものをそのまま埋め込むのはNGなので対比表をつくる
• 対比表に合致しない値が来た場合SQL自体を発行しない
• SQL文の生成はprintf的な埋め込みをする

Comments

[nyoi]

コメントありがとうございます！
そもそもプレースホルダにこだわったところに敗因があったのかと思いました。
具体的な指標をいただきありがとうございました。
SQLを発行しないというのも大切なのですね･･･
精進いたします。

[yambejp]

プレースホルダーの基本はユーザーから受け取ったデータを
リスクなく利用することです。
仮にカラム名をユーザーから受け取るような仕組みだと
ユーザーにより任意のカラムを指定されてしまう危険があり
サービス側が許可したカラム以外は指定できないようにしないと
いけません。

Answer 3

prepareStatementメソッドに渡している文字列のうち、カラム名の部分をあらかじめ置換すれば良いと思いますが…。

Comments

[nyoi]

1.preparedStatement.setString(2,b);
このbの部分を文字列に　ということでしょうか
カラム名も条件によって変えたくて
変数を入れたいと思っていたんですけども
どのように置換すればよいですか？

String b = null;
if( ){
b = "A_NAME";
}else{
b= "A_AGE"
}

[gentaro]

いや、
> prepareStatementメソッドに渡している文字列
なので

preparedStatement = connection.prepareStatement(
"SELECT * FROM P_TABLE WHERE A_NAME LIKE ? ORDER BY ? ?");

の部分の話です。

"SELECT * FROM P_TABLE WHERE A_NAME LIKE ? ORDER BY ? ?"
を
"SELECT * FROM P_TABLE WHERE A_NAME LIKE ? ORDER BY [COL1] ?"
とか、カラム名の部分を何か適当な文字にしておいて、文字列置換すればいいだけじゃないかなと。

例えば
String s = "SELECT * FROM P_TABLE WHERE A_NAME LIKE ? ORDER BY [COL1] ?";
s.replace("[COL1]", "Column1");
みたいな。

[gentaro]

あ、そもそもカラム名の部分がどうやって渡されるかわかんないから、この方法だと下手するとSQLインジェクションの可能性ありますね。
ただ、JDBCも確かそうだったと思いますが、カラム名ってプレースホルダ使えないと思いますけど…。

[nyoi]

ありがとうございます！！
わーいと飛びついたのですが･･･

例えば
String s = "SELECT * FROM P_TABLE WHERE A_NAME LIKE ? ORDER BY [COL1] ?";
s.replace("[COL1]", "Column1");

　　　　　　　　　　　↑　ここがStringで一意に指定ではなくて
変数にしたいのです･･･

[nyoi]

そうなんです　カラム名はプレースホルダに使えないって
書いてあるところがほとんどだったんですけど
偉い人が裏技をご存じないかとわらをもすがる感じでした。

[gentaro]

変数にしたいなら変数にすれば良いと思いますのでちょっと問題が何なのかよくわかりませんが、文字列加工で動的にSQL文を生成したい場合は、SQL インジェクション対策は考えてくださいね。

[gentaro]

補足すると、通常の業務プログラミング等であれば、文字列加工してSQL文を組み立てるようなことは一般的にあり得ないというか、見づらいしメンテナンス性は悪いしSQLインジェクションを気にしなきゃいけないので、やらないケースがほとんどだと思います。

じゃあどうやるのかというと、とりあえずざっくりデータをプログラム側で受け取ってフィルタしたり並べ替えたりするか、ストアドプロシージャ等のDB側のプログラミングで対処するのが普通じゃないかと。

学習用のちょっとしたプログラミングなら文字列加工でも問題ないかな、と思って回答していましたが、ちょっと無責任でしたね。すみません。

[nyoi]

コメントありがとうございます！
レスが追いついていかず申し訳ありませんでした。
普通のやり方を教わることができて助かりました。
ありがとうございました。

受け取った側でソートしようとしたのですが
一意のものはできたのですが、マルチなソートができず･･･
SQL文を作り上げることに専念したらできました！

今できることで編集することも大切ですが
そもそも論の大切さを学びました。ありがとうございました。