appengine datastoreクエリーをエスケープする一重引用符（ '）

Question

ここでは、JDO for Google App Engine: escaping quotesのようなjavax.jdo.Queryを使用しています。しかし、一重引用符（ '）付きのクエリ文字列は爆発的になり続けます。ここで

Query query = pm.newQuery("select from " + Book.class.getName() + " where mArtist== '"+ artist + "' && mTitle=='" + title + "'"); 

ここで例外

javax.jdo.JDOUserException: Portion of expression could not be parsed: 't Give Up' 
org.datanucleus.store.query.QueryCompilerSyntaxException: Portion of expression could not be parsed: 't Give Up' 

は（このquery.toStringである）

SELECT FROM com.example.Book WHERE mArtist== 'Famous Writer' && mTitle=='We Won''t Give Up' 

葉、私は二重の単一引用符ごとに（ '）単一引用符をしても脱出してきましたappengine docs

a str literal, as a single-quoted string. Single-quote characters in the string must be escaped as ''. For example: 'Joe''s Diner'

Answer 1

SQLインジェクション攻撃が不可能な場合でも、文字列連結によるクエリの構築はほとんどの場合危険です。 （それらはGAEには含まれていません）

http://code.google.com/appengine/docs/java/datastore/jdo/queries.html#Introducing_Queriesを参照し、「パラメータ置換」のビットに注意してください。

Answer 2

このドキュメントのサンプルコードでは、1つのパラメータ置換のみが対象です。ここにもう少しです。

Query query = pm.newQuery(Book.class); 
query.setFilter("mArtist == artist && mTitle == title"); 
query.declareParameters("String artist,String title");    
List<Book> list = (List<Book>) query.execute("Famous Writer","We Won't Give Up"); 

読む価値いくつかのSOの質問：

How to dynamically build JDO Queries on multiple parameters

Google Datastore problem with query on *User* type