文字列連結を使用しない動的スキーマを使用したクエリ

Question

Oracleデータベースを使用するシステムがあります。スキーマはアプリケーション・ユーザーとは異なります。スキーマ名自体はあらかじめわかっていないので、単にハードコードするだけではありません。これはシステムプロパティです。

ほとんどのデータアクセスは接続時にデフォルトのスキーマを指定できるHibernateを介して行われるため、この場合は問題ありません。

ただし、（jdbcTemplateを使用して）プレーンSQLクエリが使用される場所がいくつかあります。だから、今私たちは沸騰するものを持っています：

Map<String,Object> result = jdbcTemplate.queryForMap("SELECT A, B, C FROM "+schema+".TABLE WHERE blablablah"); 

これはもちろん、オープンSQLインジェクションの脆弱性です。私たちはセキュリティ監査を計画しており、これには確実にフラグが立てられます。

質問：jdbcTemplate、別のSprintデータアクセスユーティリティ、またはプレーンjdbcの場合でも、クエリにスキーマを指定するにはどうすればよいですか？

あなたは、JDBC接続のためのスキーマを指定するConnection.setSchemaを使用することができ、 JGN

Answer 1

、ありがとうございました。これは、SQLコマンドを実行するためにStatementを作成する前に行う必要があります。