Динамический порядок в запросах объектов SQL JDBI

Ответ 1

Недавно я изучал DropWizard, который поставляется в комплекте с JDBI и быстро сталкивался с той же проблемой. К сожалению, JDBI имеет тусклую документацию (JavaDoc и некоторые выборочные модульные тесты на нем, репозиторий git не вырезают его в одиночку), что разочаровывает.

Здесь я обнаружил, что достигает динамического порядка в API-интерфейсе Sql для JDBI на основе моего образца DAO:

@UseStringTemplate3StatementLocator
public interface ProductsDao {

    @RegisterMapperFactory(BeanMapperFactory.class) // will map the result of the query to a list of Product POJOs(Beans)
    @SqlQuery("select * from products order by <orderby> <order> limit :limit offset :offset")
    List<Product> getProducts(@Define("orderby") String orderBy, @Define("order") String order,
                                     @Bind("limit") int limit, @Bind("offset") int offset);

    @SqlQuery("select count(*) from products")
    int getProductsCount();

}

@UseStringTemplate3StatementLocator - эта аннотация позволяет нам использовать синтаксис <arg> в запросах. Эти аргументы будут заменены любым значением, которое мы предоставляем с помощью аннотации @Define.

Чтобы иметь возможность использовать эту функцию, мне пришлось дополнительно добавить эту зависимость в мой файл pom.xml:

<dependency>
  <groupId>antlr</groupId>
  <artifactId>stringtemplate</artifactId>
  <version>2.3b6</version> <!-- I am not sure if this specific version is meant to be used though -->
</dependency>

ПРЕДУПРЕЖДЕНИЕ ИНЪЕКЦИИ SQL Следует отметить, что это открывает нам до Sql Injection, поскольку значения непосредственно вставляются в запрос. (В отличие от синтаксиса :arg в запросе и аннотации @Bind, которая использует подготовленные инструкции и защищает от SQL-инъекции). По крайней мере, вы должны дезинфицировать параметры, которые будут использоваться для полей @Define. (Простой пример для DropWizard ниже).

@Path("/products")
@Produces(MediaType.APPLICATION_JSON)
public class ProductsResource {
  private static ImmutableSet<String> orderByChoices = ImmutableSet.of("id", "name", "price", "manufactureDate");

  private final ProductsDao dao;

  public ProductsResource(ProductsDao dao) {
    this.dao = dao;
  }

  @GET
  // Use @InjectParam to bind many query parameters to a POJO(Bean) instead. 
  // https://jersey.java.net/apidocs/1.17/jersey/com/sun/jersey/api/core/InjectParam.html
  // i.e. public List<Product> index(@InjectParam ProductsRequest request)
  // Also use custom Java types for consuming request parameters. This allows to move such validation/sanitization logic outside the 'index' method.
  // https://jersey.java.net/documentation/1.17/jax-rs.html#d4e260 
  public List<Product> index(@DefaultValue("id")  @QueryParam("orderby") String orderBy,
                             @DefaultValue("asc") @QueryParam("order")   String order,
                             @DefaultValue("20")  @QueryParam("perpage") IntParam perpage,
                             @DefaultValue("0")   @QueryParam("page")    IntParam page)

   int limit, offset;

   order = order.toLowerCase(); 
   orderBy = orderBy.toLowerCase();    

   if (!orderByChoices.contains(orderBy)) orderBy = "id"; //sanitize <orderby>
   if (order != "asc" && order != "desc") order = "asc";  //sanitize <order>

   limit = perpage.get();
   offset = page.get() < 0 ? 0 : page.get() * limit;

   return dao.getProducts(orderBy, order, limit, offset);

  }
}

Ответ 2

Я думаю, что это потому, что предполагается, что библиотека String Template предоставляется, и это допущение не выполняется во время выполнения. Добавление следующего к приложению POM должно устранить проблему:

<dependency>
  <groupId>org.antlr</groupId>
  <artifactId>stringtemplate</artifactId>
  <version>3.2.1</version>
</dependency>

Посмотрев на JDBI 2 pom, вы можете увидеть следующее:

<dependency>
  <groupId>org.antlr</groupId>
  <artifactId>stringtemplate</artifactId>
  <version>3.2.1</version>
  <optional>true</optional>
</dependency>

Значение JDBI не будет жаловаться на отсутствие stringtemplate lib.

Ответ 3

Ну, оказывается, что вы добавляете ORDER BY к вашему запросу так:

@SqlQuery("SELECT * FROM incident_events WHERE incident_id=:incidentId ORDER BY event_time DESC LIMIT :limit OFFSET :offset")
List<IncidentEvent> getPaginated(@Bind("incidentId") int incidentId, @Bind("limit") int limit, @Bind("offset") int offset);