如何为Camel JDBC组件安全生成SQL并解决命名参数使用问题

问题根因 #

1. 编译报错是Camel版本API差异导致：文档示例适配的是低版本Camel（2.x），该版本setBody支持直接传入字符串参数；3.x及以上版本的setBody方法仅接收Expression类型参数，所以直接传字符串会触发类型不匹配的编译错误。
2. 用simple()包裹后命名参数失效的原因：simple是Camel的动态表达式语法，会默认解析:开头的标记为内置变量，和JDBC组件定义的:?命名参数语法冲突，参数还没传递到JDBC组件就会被simple提前解析报错。

正确解决方案 #

1. 固定SQL场景（无动态拼接需求）

直接用constant()表达式包裹SQL字符串即可，constant会将内容原样传递，不会解析内部的冒号语法，JDBC组件可以正常识别命名参数：

// 需静态导入org.apache.camel.builder.Builder.constant
.setBody(constant("select * from projects where license = :?lic and id > :?min order by id"))

参数可以存到Exchange的Header中，或者将消息Body设置为包含lic、min字段的Map/POJO对象，JDBC组件会自动匹配参数名取值。

2. 需动态构建SQL的场景

推荐直接使用Camel原生的SQL组件替代基础JDBC组件，SQL组件的命名参数语法为:#，和simple语法无冲突，同时自带SQL注入防护、参数类型校验能力：

// 占位符:#后面的参数名自动匹配Header或Body中的对应字段
.to("sql:select * from projects where license = :#lic and id > :#min?dataSource=你的数据源Bean名")

所有可变参数都通过命名参数传递，不要直接拼接用户输入到SQL字符串中，从根源避免注入风险。

内容的提问来源于stack exchange，提问作者BenW