如何编写支持动态schema、避免SQL注入的序列查询Criteria Query？

核心问题分析 #

JDBC预编译参数（setParameter）仅支持SQL语句中的值部分（如WHERE子句的条件），无法用于Schema名、序列名这类SQL结构标识符，因此直接用参数替换Schema会失败。而AI生成的Criteria Query方案错误地将序列表达式当作字符串拼接后转换，不符合JPA Criteria Query的设计逻辑，自然无法运行。

以下是几种可行的安全解决方案：

方案1：白名单校验+安全SQL拼接（推荐） #

通过维护合法Schema的白名单，先校验输入的Schema是否在允许范围内，再安全拼接SQL。这种方法简单高效，能从根源避免SQL注入风险。

// 从系统属性或配置文件加载合法Schema列表（示例为硬编码，实际应从配置读取）
Set<String> allowedSchemas = Set.of("SCHEMA_A", "SCHEMA_B", "SCHEMA_C");
String targetSchema = System.getProperty("target.schema"); // 从系统属性获取目标Schema

// 校验Schema合法性
if (!allowedSchemas.contains(targetSchema)) {
    throw new IllegalArgumentException("非法的Schema名称: " + targetSchema);
}

// 拼接安全的SQL语句（Schema已通过校验，无注入风险）
String sql = String.format("SELECT NEXTVAL FOR %s.CNTCT_ID FROM SYSIBM.SYSDUMMY1", targetSchema);
Query query = entityManager.createNativeQuery(sql);

// 获取序列值
return (Integer) query.getSingleResult();

方案2：通过JDBC元数据验证Schema存在 #

如果无法维护固定白名单，可以通过JDBC的DatabaseMetaData验证Schema是否真实存在，确保输入的Schema是数据库中合法的标识符。

String targetSchema = System.getProperty("target.schema");
Connection conn = entityManager.unwrap(Connection.class);
DatabaseMetaData metaData = conn.getMetaData();

// 验证Schema是否存在（DB2环境下，catalog参数传null，schemaPattern传入目标Schema）
try (ResultSet rs = metaData.getSchemas(null, targetSchema)) {
    if (!rs.next()) {
        throw new IllegalArgumentException("数据库中不存在指定Schema: " + targetSchema);
    }
}

// 验证通过后拼接SQL并执行
String sql = String.format("SELECT NEXTVAL FOR %s.CNTCT_ID FROM SYSIBM.SYSDUMMY1", targetSchema);
try (PreparedStatement stmt = conn.prepareStatement(sql);
     ResultSet rs = stmt.executeQuery()) {
    if (rs.next()) {
        return rs.getInt(1);
    }
    throw new NoSuchElementException("序列未返回有效值");
}
// 注意：容器管理的连接无需手动关闭，由EntityManager负责生命周期

方案3：基于Hibernate的动态序列生成器（适用于自动ID生成场景） #

如果使用Hibernate作为JPA实现，可以自定义序列生成器，动态切换Schema并提前校验合法性。

自定义序列生成器 #

public class DynamicSchemaSequenceGenerator extends SequenceStyleGenerator {
    @Override
    public Serializable generate(SharedSessionContractImplementor session, Object object) {
        String targetSchema = System.getProperty("target.schema");
        Set<String> allowedSchemas = Set.of("SCHEMA_A", "SCHEMA_B");
        
        // 校验Schema合法性
        if (!allowedSchemas.contains(targetSchema)) {
            throw new IllegalArgumentException("非法的Schema名称");
        }
        
        // 设置带Schema前缀的序列名
        this.setSequenceName(targetSchema + ".CNTCT_ID");
        return super.generate(session, object);
    }
}

在实体类中使用 #

@Entity
public class Contact {
    @Id
    @GeneratedValue(strategy = GenerationType.SEQUENCE, generator = "cntctIdGenerator")
    @GenericGenerator(
        name = "cntctIdGenerator",
        type = DynamicSchemaSequenceGenerator.class
    )
    private Integer cntctId;
    
    // 其他字段和方法
}

内容的提问来源于stack exchange，提问作者scottyboombox