本文介绍在不使用orm框架的前提下，如何通过参数化查询安全、高效地批量更新多条数据库记录，避免sql注入风险，并提供可直接落地的代码优化方案。
本文介绍在不使用orm框架的前提下，如何通过参数化查询安全、高效地批量更新多条数据库记录，避免sql注入风险，并提供可直接落地的代码优化方案。
在Java传统DAO开发中，针对“根据一组ID批量更新表字段”的需求，常见做法是拼接IN (...)子句并直接将ID字符串插入SQL语句（如'1','2','3'）。但这种硬拼接方式存在两大严重问题：SQL注入漏洞与动态占位符管理混乱。原代码中通过sbQuery.append("'" + arr_rs_seq[i] + "'")拼接ID列表，一旦输入包含单引号或恶意字符（如1'; DROP TABLE t_reserve; --），将导致灾难性后果。
更优解是统一采用参数化占位符机制，与已有的[idkey]、[settled]等参数保持一致风格。具体改造步骤如下：
- 动态生成占位符序列：不再拼接带引号的字面值，而是为每个ID生成独立命名参数（如[key0]、[key1]）；
- 批量绑定参数：遍历ID数组，调用qry.setValue("key"+i, idValue)完成安全注入；
- 保持SQL结构清晰：WHERE条件中IN ([key0], [key1], ...)完全由框架解析，底层自动处理类型转换与转义。
优化后的核心代码段如下：
public int settle_updt_reserve(CommonDAO commonDAO, CommonMap value) throws Exception {
StringBuffer sbQuery = new StringBuffer();
sbQuery.append("UPDATE t_reserve a" + this.NEWLINE);
sbQuery.append("SET a.settled = [settled]" + this.NEWLINE);
sbQuery.append(", a.settlement_no = [calc_no]" + this.NEWLINE);
sbQuery.append("WHERE 1=1" + this.NEWLINE);
sbQuery.append("AND a.idkey = [idkey]" + this.NEWLINE);
sbQuery.append("AND a.rs_seq IN (");
String[] arr_rs_seq = value.getString("rs_seq_array", "").split(",");
// ✅ 安全：生成参数化占位符 [key0], [key1], ...
for (int i = 0; i < arr_rs_seq.length; i++) {
if (i > 0) sbQuery.append(",");
sbQuery.append("[key" + i + "]");
}
sbQuery.append(")" + this.NEWLINE);
Query qry = new Query(sbQuery);
try {
qry.setValue("idkey", value.getString("idkey", ""));
qry.setValue("settled", value.getString("settled", ""));
qry.setValue("calc_no", value.getString("calc_no", ""));
// ✅ 安全：逐个绑定ID参数，杜绝SQL注入
for (int i = 0; i < arr_rs_seq.length; i++) {
qry.setValue("key" + i, arr_rs_seq[i]);
}
return commonDAO.update(qry);
} catch (Exception e) {
System.err.println("ReportDAO : settle_updt_reserve(CommonDAO, CommonMap) : "
+ CommonUtil.getSysDate() + "/Error MSG:" + e.getMessage());
throw e;
}
}⚠️ 关键注意事项：
- ID数量限制：多数数据库对IN子句参数数量有限制（如MySQL默认4096），若ID数组超千级，建议分批执行（如每500个一批）；
- 空数组防护：split(",")可能产生空字符串，应在绑定前过滤：Arrays.stream(arr_rs_seq).filter(s -> !s.trim().isEmpty()).toArray(String[]::new)；
- 类型一致性：确保rs_seq字段在数据库中为字符串类型；若为数值型，需确认qry.setValue()能正确转换（必要时显式调用Integer.parseInt()并捕获异常）；
- 事务保障：批量更新应包裹在事务中，避免部分成功导致数据不一致。
该方案在零依赖ORM的前提下，兼顾安全性、可读性与可维护性，是JDBC/轻量DAO层批量更新的经典实践。
