如何修改Hibernate查询语句实现数据库值与参数字符串的等值匹配

你当前采用硬拼接字符串的方式编写HQL条件，最终生成的可执行SQL片段为：

where user0_.Name=Luca and user0_.Passwd=luca

根据SQL语法规则，字符串类型的字段值必须用单引号包裹才能被识别为字面量。上述语句中没有引号的Luca、luca会被数据库解析为待查询的列名，因此抛出no such column: Luca的列不存在错误。

• 硬拼接参数字符串的写法除了当前的语法错误，还存在两个固有问题：
  • 存在SQL注入风险，若传入的参数包含恶意SQL片段，会直接被拼入执行语句中
  • 无法正确处理参数本身包含单引号的场景（例如用户名为O'Neil），这类场景下即使手动补全外层单引号，依然会触发SQL语法错误

完全替换硬拼接逻辑，使用Hibernate原生的参数绑定机制完成等值查询，由框架自动完成参数值的格式转义、字符串引号包裹，从根源规避上述问题：

1. 编写HQL时不嵌入业务参数，使用命名占位符标记参数位置
2. 通过框架提供的参数绑定API为占位符赋值，不需要手动处理字符串格式
   调整后的方法实现参考：

public User findBy(String n, String p){
    try(Session session = sessionFactory.openSession()) {
        // 等值查询为只读操作，不需要强制开启写事务
        User us = session.createQuery(
                "from User u where u.name = :name and u.passwd = :passwd",
                User.class
            )
            .setParameter("name", n)
            .setParameter("passwd", p)
            .uniqueResult();
        System.out.println(us + " was found!");
        return us;
    } catch (RuntimeException ex) {
        // 可根据业务需求补充异常日志、错误码处理逻辑
        ex.printStackTrace();
    }
    return null;
}

原代码中为了拼接参数临时创建的User uss = new User(n,p,TipUser.ANGAJAT)对象属于冗余逻辑，完全可以移除，直接将方法入参n、p作为绑定值传入即可。

• 注意原代码中原本的结果返回逻辑是注释状态，无论查询是否命中记录，最终都会返回null，调试时需要注意把结果返回逻辑放开。

如果使用的是低版本Hibernate，不支持带目标返回类型的createQuery方法重载，只需要调整查询实例的声明方式，核心参数绑定逻辑完全一致：

// 低版本Hibernate适配写法
Query<User> query = session.createQuery(
    "from User u where u.name = :name and u.passwd = :passwd",
    User.class
);
query.setParameter("name", n);
query.setParameter("passwd", p);
User us = query.uniqueResult();

内容的提问来源于stack exchange，提问作者Luke