scala - Play Framework 2.0 使用 Anorm 在查询中表示集合的正确方法

Question

我正在尝试使用 Anorm 使用返回一组 id 的匹配行的查询来返回结果列表。例如。

select *
from example
where id in (1,2,3,4,5)

如果我尝试

SQL(
    """
      select *
      from example 
      where id in ({ids})
    """
  ).on('ids -> ids).as(int("id") ~ str("name") *)

其中 ids 是字符串 "1,2,3,4,5" 它只会返回第一行。注入一组 id 的正确方法是什么？

Answer 1

AFAIK 没有简单的方法。

这就是我解决它的方法：

def findSomething(ids: String) = {
  // Split up the comma separated values
  val sids = ids split ","
  // Create a list of keys (id0, id1, id2, ...)
  val keys = for ( i <- 0 until sids.size ) yield ("id" + i)
  // Create a seq of parameterized values
  val values = sids map (toParameterValue(_))

  // Now zip together the keys and values into list of tuples
  val params = keys zip values

  DB.withConnection { implicit connection =>
    SQL(
      """
        select *
        from example 
        where id in ({%s})
      """.format(keys.mkString("},{"))
    ).on(
      params: _*
    ).as(
      int("id") ~ str("name") *
    )
  }
}

注意
这里的关键部分是 SQL 语句中的字符串格式。如果您无法完全控制输入参数，那么它很容易受到 SQL 注入的攻击。