如何防范JPA原生PostgreSQL Upsert语句的SQL注入？

嘿，这个场景我太熟悉了——用JPA做PostgreSQL批量Upsert时，直接拼接SQL字符串确实容易踩SQL注入的坑，而位置参数的用法不对又会触发语法错误。下面给你两个安全又可行的解决方案：

方案一：动态生成参数占位符并绑定值 #

这种方法最直观，核心是只拼接占位符结构，所有实际值通过参数绑定传递，完全避免用户输入直接混入SQL语句：

// 生成每个item对应的占位符组，比如"(?, ?), (?, ?)"
val placeholders = items.joinToString(", ") { "(?, ?)" }

// 构建Upsert查询，占位符是固定结构，没有用户输入拼接
val query = """
    INSERT INTO item (field1, field2)
    VALUES $placeholders
    ON CONFLICT ON CONSTRAINT item_pkey
    DO UPDATE SET field1 = excluded.field1, field2 = excluded.field2
""".trimIndent()

val nativeQuery = entityManager.createNativeQuery(query)
var paramIndex = 1

// 逐个绑定每个item的字段值
items.forEach { item ->
    nativeQuery.setParameter(paramIndex++, item.field1)
    nativeQuery.setParameter(paramIndex++, item.field2)
}

nativeQuery.executeUpdate()

这个方法的优势是逻辑清晰，和你原来的写法最接近，只是把convertItemToSqlValue换成了占位符+参数绑定，彻底杜绝SQL注入风险——JPA会自动处理所有值的转义、类型转换。

方案二：利用PostgreSQL数组+unnest函数批量插入 #

如果你的PostgreSQL版本支持（9.4+），可以用数组参数配合unnest函数来简化代码，同样是安全的参数绑定方式：

val query = """
    INSERT INTO item (field1, field2)
    SELECT unnest(:field1Array), unnest(:field2Array)
    ON CONFLICT ON CONSTRAINT item_pkey
    DO UPDATE SET field1 = excluded.field1, field2 = excluded.field2
""".trimIndent()

val nativeQuery = entityManager.createNativeQuery(query)

// 将所有item的字段转换成数组参数
nativeQuery.setParameter("field1Array", items.map { it.field1 }.toTypedArray())
nativeQuery.setParameter("field2Array", items.map { it.field2 }.toTypedArray())

nativeQuery.executeUpdate()

这种写法不需要动态生成占位符，代码更简洁，适合字段数量不多的场景。PostgreSQL会自动把数组展开成多行数据，实现批量插入的效果。

为什么你原来的位置参数写法会报错？ #

你之前尝试的values ?是错误的——PostgreSQL的VALUES子句接受的是值组列表，单个?只能代表一个单一值，无法匹配多个值组的结构。必须为每个字段单独定义占位符（比如(?, ?)），才能正确绑定参数。

关键提醒 #

无论用哪种方法，绝对不要直接拼接用户提供的任何数据到SQL字符串中，所有变量都要通过setParameter方法绑定。JPA的参数绑定机制会自动处理SQL注入风险，比如转义单引号、特殊字符，确保输入被当作纯数据处理，而不是SQL指令的一部分。

内容的提问来源于stack exchange，提问作者deamon