Question

elasticsearch jdbc river中，如果sql参数中语句中包含了单引号，那么会执行的时候会默认去掉，如何解决

Answer 1

这是因为以前用Statement对象查询数据的系统容易被人SQL注入攻击。简单的一个例子:登陆.从登陆框中传过来两个参数.正常情况下、假设是aabbselect*fromtbl_userwhereuname='aa'andupass='bb'然后有些会sql的人就想到了在参数后面加些其他的东西比如在bb'or'a'='a或者;DELETEFROMtbl_userWHERE1>0之类的这样SQL语句就变成：select*fromtbl_userwhereuname='aa'andupass='bb'or'a'='a'这样的语句是不安全的。后来就出现PreparedStatement对象的?占位符,通过给?设值，可以把传过来的参数当成普通的字符串，包括单引号。这样就避免了一些灾难。

Answer 2

用"\"来转义

追问

用了，没什么效果