Android：RESTful JDBC代理的性能与安全问题

我之前也踩过直接在Android项目里用MySQL Connector/J连接云端MySQL的坑——这个官方JDBC适配器确实没法在Android环境下正常跑，毕竟它是为Java SE环境设计的，Android的Dalvik/ART虚拟机在类加载、网络权限等方面都有不少差异，硬套肯定出问题。

后来我们团队的解决方案是在云端搭建一个REST中间层，把数据库操作全部封装成标准化接口，让Android端通过HTTP请求间接操作MySQL数据库。这种方式不仅规避了Connector/J的兼容性问题，还更符合移动应用的架构最佳实践——能减少客户端直接暴露数据库凭证的安全风险。

我们的REST接口设计 #

这个REST服务核心包含4个接口，所有接口都接收JSON格式的参数，返回JSON格式的响应：

• POST /query：执行查询操作，JSON参数需要包含查询语句（比如"sql": "SELECT * FROM users WHERE id = ?"）和对应的参数列表（比如"params": [123]），服务端执行后返回查询结果集的JSON数组
• POST /insert：处理数据插入，参数包含插入语句和待插入的参数，返回插入成功的行数或生成的主键ID
• POST /update：处理数据更新，参数包含更新语句和参数，返回更新影响的行数
• POST /delete：处理数据删除，参数包含删除语句和参数，返回删除影响的行数

关键注意事项 #

一定要做好参数校验和SQL注入防护：服务端必须用预编译语句处理带参数的SQL，绝对不能直接拼接用户传入的参数到SQL语句里；同时要给REST接口加上身份验证（比如Token验证），彻底杜绝非法请求操作数据库的可能。

Android端请求示例（OkHttp伪代码） #

// 构建查询请求的JSON参数
JSONObject queryParams = new JSONObject();
queryParams.put("sql", "SELECT name, email FROM users WHERE age > ?");
queryParams.put("params", new JSONArray().put(18));

// 发送POST请求到/query接口
Request request = new Request.Builder()
        .url("https://your-cloud-server.com/query")
        .post(RequestBody.create(queryParams.toString(), MediaType.get("application/json")))
        .addHeader("Authorization", "Bearer " + userToken)
        .build();

// 执行请求并处理响应
OkHttpClient client = new OkHttpClient();
client.newCall(request).enqueue(new Callback() {
    @Override
    public void onResponse(Call call, Response response) throws IOException {
        if (response.isSuccessful()) {
            String responseBody = response.body().string();
            // 解析查询结果JSON
            JSONArray result = new JSONArray(responseBody);
            // 处理数据逻辑...
        }
    }

    @Override
    public void onFailure(Call call, IOException e) {
        // 处理请求失败逻辑
    }
});

内容的提问来源于stack exchange，提问作者Pioneer