Android SQLite字符串参数值失效：如何传入数值型参数？

这个问题我之前也碰到过，核心原因是SQLite的类型转换逻辑在字符串与数值比较时的行为不符合预期：count()返回的是数值类型，而rawQuery要求参数为String数组，传入的数值会被当成带单引号的字符串字面量，导致比较逻辑出错。下面给你几个靠谱的解决办法：

方法1：通过CAST转换参数类型 #

修改SQL语句，用CAST(? AS INTEGER)把字符串参数强制转换为数值类型，这样即使传入字符串形式的数值，也能和count()的结果正确比较：

SELECT t0.id FROM Employer t0 WHERE (select count(t1.id) from Employee t1 where t1.employerId=t0.id) > CAST(? AS INTEGER)

调用rawQuery时正常传入字符串数组即可：

int threshold = 1;
Cursor cursor = db.rawQuery(
    "SELECT t0.id FROM Employer t0 WHERE (select count(t1.id) from Employee t1 where t1.employerId=t0.id) > CAST(? AS INTEGER)",
    new String[]{String.valueOf(threshold)}
);
// 处理查询结果
cursor.close();

方法2：使用SQLiteStatement绑定数值参数 #

如果不想修改SQL语句，可以用SQLiteStatement，它支持直接绑定数值类型的参数，避免字符串转换的问题，同时也能防范SQL注入：

int threshold = 1;
SQLiteStatement stmt = db.compileStatement(
    "SELECT t0.id FROM Employer t0 WHERE (select count(t1.id) from Employee t1 where t1.employerId=t0.id) > ?"
);
stmt.bindLong(1, threshold); // 绑定长整型数值，也可以用bindInt()
Cursor cursor = stmt.executeQuery();
// 处理查询结果
cursor.close();
stmt.close();

方法3：安全拼接SQL（仅限可信参数） #

如果你的数值参数是程序内部生成的（比如固定阈值、非用户输入的数值），可以直接把数值拼到SQL语句里，但绝对不要用这种方式处理用户输入的内容，避免SQL注入风险：

int threshold = 1;
String sql = String.format(
    "SELECT t0.id FROM Employer t0 WHERE (select count(t1.id) from Employee t1 where t1.employerId=t0.id) > %d",
    threshold
);
Cursor cursor = db.rawQuery(sql, null);
// 处理查询结果
cursor.close();

总结 #

• 推荐用方法1或方法2，这两种都是安全的参数绑定方式，能避免SQL注入和类型转换问题；
• 方法3只适合参数完全可信的场景，谨慎使用。

内容的提问来源于stack exchange，提问作者eastwater