本文介绍在不使用 orm 框架的前提下，如何通过参数化查询安全、高效地批量更新具有多个 id 的数据库记录，避免 sql 注入风险，并替代易出错的手动拼接字符串方式。
本文介绍在不使用 orm 框架的前提下，如何通过参数化查询安全、高效地批量更新具有多个 id 的数据库记录，避免 sql 注入风险，并替代易出错的手动拼接字符串方式。
在 Java 传统 JDBC 或轻量级 DAO 框架（如示例中的 Query 类）中，对一批主键（如 rs_seq）执行统一更新时，直接字符串拼接 ID 列表（如 "'" + id + "'"）虽简单，但存在两大严重问题：SQL 注入漏洞与语法脆弱性（如 ID 含单引号、空值或特殊字符时语句崩溃）。更优解是延续现有框架的参数化机制——将每个 ID 视为独立命名参数，而非硬编码字符串。
以下为重构后的推荐实现（保持原有 Query 类风格，零依赖 ORM）：
public int settle_updt_reserve(CommonDAO commonDAO, CommonMap value) throws Exception {
StringBuffer sbQuery = new StringBuffer();
sbQuery.append("UPDATE t_reserve a" + this.NEWLINE);
sbQuery.append("SET a.settled = [settled]" + this.NEWLINE);
sbQuery.append(", a.settlement_no = [calc_no]" + this.NEWLINE);
sbQuery.append("WHERE a.idkey = [idkey]" + this.NEWLINE);
sbQuery.append("AND a.rs_seq IN (");
String[] arr_rs_seq = value.getString("rs_seq_array", "").split(",");
// ✅ 安全生成占位符：[key0], [key1], ..., [keyN]
for (int i = 0; i 0) sbQuery.append(",");
sbQuery.append("[key" + i + "]");
}
sbQuery.append(")" + this.NEWLINE);
Query qry = new Query(sbQuery);
try {
qry.setValue("idkey", value.getString("idkey", ""));
qry.setValue("settled", value.getString("settled", ""));
qry.setValue("calc_no", value.getString("calc_no", ""));
// ✅ 为每个 rs_seq ID 绑定独立参数，交由框架做类型/转义处理
for (int i = 0; i <p><strong>关键改进说明：</strong> </p>
- 杜绝 SQL 注入：所有用户输入（包括每个 rs_seq 值）均通过 qry.setValue() 参数化注入，由底层 Query 类负责转义与类型适配；
- 提升健壮性：不再依赖字符串分割后手动加引号，避免因 ID 含 ', \, NULL 或空白导致 SQL 解析失败；
- 兼容现有架构：无需引入 Hibernate/MyBatis 等 ORM，复用项目已有的 Query 参数绑定机制，学习与迁移成本极低；
- 可扩展性强：若未来需支持动态字段更新或条件分支，只需扩展占位符逻辑，核心安全模式不变。
注意事项：
⚠️ 若 arr_rs_seq 数组过长（如超 1000 项），部分数据库（如 MySQL 默认 max_allowed_packet）可能报错。此时建议分批处理（例如每 500 个 ID 执行一次更新），而非盲目增大数据库限制。
⚠️ 确保 Query 类底层真正使用 PreparedStatement —— 可通过日志或源码验证其是否调用 ps.setString(i, value) 而非字符串替换。若该类仅做简单模板替换，则需升级其底层实现。
综上，参数化占位符方案在安全性、可维护性与框架兼容性上全面优于字符串拼接，是传统 DAO 场景下批量更新的首选实践。
