本文讲解如何修复因泛型类型不匹配导致的 ClassCastException，正确声明 List 并遍历获取每个对象的 id 值，同时强调 SQL 注入风险及安全编码实践。

本文讲解如何修复因泛型类型不匹配导致的 classcastexception，正确声明 list 并遍历获取每个对象的 id 值，同时强调 sql 注入风险及安全编码实践。

你遇到的 ClassCastException 根本原因在于泛型类型声明与实际返回类型严重不一致：将 locmgr.getEmployeeLocationByQuery(...) 返回的 List<employeelocation></employeelocation> 强行赋值给 List<string></string> 变量，导致编译器在增强 for 循环中自动插入 (String) iterator.next() 类型转换——而实际元素是 EmployeeLocation 实例，强制转为 String 必然失败。

✅ 正确做法：使用匹配的泛型类型

首先，确认 getEmployeeLocationByQuery 方法的真实返回类型（从日志输出和异常可明确判断为 List<employeelocation></employeelocation>），然后严格保持变量声明、循环变量类型与实际对象类型一致：

// ✅ 正确：声明为 List<EmployeeLocation>
List<EmployeeLocation> locationList = locmgr.getEmployeeLocationByQuery("name LIKE '" + searchName + "%'");

System.out.println("print location");
System.out.println(locationList); // toString() 输出正常，无强制转换

// ✅ 正确：循环变量类型为 EmployeeLocation
for (EmployeeLocation location : locationList) {
    System.out.println("Inside Loop");
    System.out.println("ID: " + location.getId());        // 调用 getter 获取 id
    System.out.println("Name: " + location.getName());    // 同理可取其他字段
}

? 提示：IDE（如 IntelliJ 或 Eclipse）通常会在 List<string> locationList = ...</string> 行给出 "Unchecked assignment" 警告——这是关键线索，切勿忽略。

⚠️ 重要安全警告：防范 SQL 注入

当前拼接 SQL 查询字符串的方式存在严重安全漏洞：

"name LIKE'" + searchName + "%'"  // ❌ 危险！searchName 可能含恶意 SQL

攻击者输入 admin' OR '1'='1 将导致查询逻辑被篡改。必须改用参数化查询（PreparedStatement）：

// ✅ 推荐：在 DAO 层使用 PreparedStatement（示例）
public List<EmployeeLocation> getEmployeeLocationByQuery(String namePattern) {
    String sql = "SELECT * FROM employee_location WHERE name LIKE ?";
    // 使用 JdbcTemplate / MyBatis / 手动 PreparedStatement 绑定参数
    return jdbcTemplate.query(sql, new Object[]{"%" + namePattern + "%"}, 
        new BeanPropertyRowMapper<>(EmployeeLocation.class));
}

若无法立即重构 DAO，至少对输入做基础校验（临时缓解）：

if (!searchName.matches("[a-zA-Z0-9\s]+")) {
    throw new IllegalArgumentException("Invalid search name format");
}

? 总结要点

• 类型安全第一：泛型不是装饰，List<t></t> 的 T 必须与实际元素类型完全一致；
• 编译器不会“猜”类型：List<string></string> 变量接收 EmployeeLocation 列表属于未检查转换，运行时必崩；
• 日志是调试利器：System.out.println(list) 能打印说明 toString() 生效，但 for (String s : list) 的失败恰恰暴露了类型误用；
• 安全即功能：SQL 注入漏洞会使整个系统面临数据泄露、删库等高危风险，必须优先修复。

遵循以上修正后，你的循环将稳定输出：

Inside Loop
ID: 83
Inside Loop
ID: 84