SonarQube报禁止原生查询错误，现有代码如何改用JPQL实现？

SonarQube触发该提示是因为对应安全规则禁用了原生SQL查询，目的是避免SQL注入风险、降低代码和特定数据库的耦合度，你当前代码中直接调用createNativeQuery创建原生查询命中了规则校验。

你可以根据业务场景选择以下任意一种方案修复：

方案1：改用JPQL实现（最符合规则要求） #

JPQL支持通过FUNCTION关键字调用数据库自定义函数，你需要先做如下两步修改：

1. 新增Dual表对应的实体类，用于适配JPQL的查询对象要求：

@Entity
@Table(name = "dual")
public class Dual {
    @Id
    private String id;
    // 按需补充getter、setter方法
}

2. 调整原有查询方法为JPQL实现：

public String getVersion() {
    TypedQuery<String> query = em.createQuery(
        "SELECT FUNCTION('pkg_deploy.get_current_build') FROM Dual",
        String.class
    );
    return query.getSingleResult();
}

方案2：通过JPA存储过程注解定义调用 #

如果是固定调用数据库函数/存储过程的场景，也可以通过注解预定义调用逻辑，无需手写SQL语句：

1. 在任意已有的实体类上添加函数定义注解：

@NamedStoredProcedureQuery(
    name = "getCurrentBuild",
    procedureName = "pkg_deploy.get_current_build",
    parameters = @StoredProcedureParameter(mode = ParameterMode.RETURN, type = String.class)
)

2. 调整方法直接调用预定义的存储过程：

public String getVersion() {
    return (String) em.createNamedStoredProcedureQuery("getCurrentBuild")
        .getSingleResult();
}

方案3：添加规则抑制（仅确认无风险时使用） #

如果你的原生SQL为固定硬编码语句、不存在SQL注入风险，且团队允许特殊场景豁免，可以直接加抑制注解跳过Sonar校验：

public String getVersion() {
    // NOSONAR 该SQL为硬编码固定查询，无外部参数，不存在注入风险
    return (String) em.createNativeQuery("SELECT pkg_deploy.get_current_build FROM dual").getSingleResult();
}

• 选用JPQL方案需要确保JPA版本不低于2.1，才支持FUNCTION关键字
• 方案1和方案2的数据库兼容性优于原生SQL，后续切换数据库类型时无需修改业务代码，仅需适配对应数据库的函数实现即可
• 选择方案3前必须确认SQL没有动态拼接外部参数的逻辑，避免存在注入漏洞

内容的提问来源于stack exchange，提问作者Klajdi