JPA/Ruhezustands-Abfragen erkennen Parameter nicht

Question

Ich verwende Hibernate/JPA, um native PostGIS-Abfragen auszuführen. Das Problem bei diesen Abfragen besteht darin, dass sie Parameter benötigen, die nicht der klassischen X = "Wert" -Form entsprechen.

Zum Beispiel zum Absturz bringen die folgenden Zeilen

String queryString = "select * from Cell c where ST_DWithin(c.shape, SetSRID(ST_GeomFromEWKT('POINT(:lon :lat)'),4326), 0.1)"; 
    Query query = Cell.em().createNativeQuery(queryString, Cell.class); 
    query.setParameter("lon", longitude); 
    query.setParameter("lat", latitude); 

play.exceptions.JavaExecutionException: org.hibernate.QueryParameterException: could not locate named parameter [lon] 
at play.mvc.ActionInvoker.invoke(ActionInvoker.java:259) 
at Invocation.HTTP Request(Play!) 
Caused by: java.lang.IllegalArgumentException: org.hibernate.QueryParameterException: could not locate named parameter [lon] 
at org.hibernate.ejb.QueryImpl.setParameter(QueryImpl.java:358) 

Die folgende Abfrage funktioniert jedoch:

String queryString = String.format("select * from Cell c where ST_DWithin(c.shape, SetSRID(ST_GeomFromEWKT('POINT(%f %f)'),4326), 0.1)", longitude, latitude); 
Query query = Cell.em().createNativeQuery(queryString, Cell.class); 

(aber es ist SQL-Injektion anfällige ...)

niemand wissen, wie man in diesem Fall setParameter() verwendet?

Answer 1

Vielleicht können Sie

'POINT(:lon :lat)' 

mit

'POINT(' || :lon || ' ' || :lat || ')' 

Auf diese Weise sind die Parameter außerhalb des konstanten Strings ersetzen und sollte von der Abfrage-Parser erkannt werden.

Answer 2

Die Verwendung von benannten Parametern ist für native Abfragen nicht definiert. Von der JPA-Spezifikation (Abschnitt 3.6.3 benannte Parameter):

Benannte Parameter folgen den Regeln für Identifikatoren in Abschnitt 4.4.1 definiert. Die Verwendung der benannten Parameter gilt für der Java Persistence-Abfragesprache und ist nicht für systemeigene Abfragen definiert. Nur positionale Parameterbindung kann portabel für native Abfragen verwendet werden.

So versuchen die folgenden statt:

String queryString = "select * from Cell c where ST_DWithin(c.shape, SetSRID(ST_GeomFromEWKT('POINT(?1 ?2)'),4326), 0.1)"; 
Query query = Cell.em().createNativeQuery(queryString, Cell.class); 
query.setParameter(1, longitude); 
query.setParameter(2, latitude); 

---

Beachten Sie, dass in JPA> = 2,0 Sie benannte Parameter in nativen Abfragen verwenden können.

Answer 3

Die Idee war also, den von Jörn Horstmann vorgeschlagenen Verkettungstrick zu verwenden, um postgres zu zwingen, die Parameter zu erkennen. Der folgende Code funktioniert:

String queryString = "select * from Cell c where ST_DWithin(c.shape, SetSRID(ST_GeomFromEWKT('POINT(' || :lon || ' ' || :lat || ')'),4326), 0.2)"; 
Query query = Cell.em().createNativeQuery(queryString, Cell.class); 
query.setParameter("lon", longitude); 
query.setParameter("lat", latitude); 

Vielen Dank für Ihre Antworten!

Answer 4

Sie können auch von der ganzen

ST_GeomFromEWKT('POINT(' || :lon || ' ' || :lat || ')') 

Anruf und ersetzen sie durch

ST_Point(:lon,:lat) 

loszuwerden Dann müssen Sie sich nicht um Zitate kümmern.

Answer 5

Pascals Antwort ist korrekt, aber ... Wie ist Ihre Lösung SQL-Injektion anfällig? Wenn Sie String.format und parmater Typ %f in Ihrem Beispiel verwenden dann irgendetwas anderes als Nummer wirft java.util.IllegalFormatConversionException. Es gibt keine Möglichkeit, einen Wert wie "xxx 'OR 1 = 1 -" zu übergeben.

Seien Sie vorsichtig, mit %s in String.format ist SQL Injection bereit.

Answer 6

Ich hatte ein ähnliches Problem und festgestellt, dass Parameter mit Fragezeichen in nativen Abfragen gesetzt werden können. Versuchen Sie dies:

String queryString = "select * from Cell c where ST_DWithin(c.shape, SetSRID(ST_GeomFromEWKT('POINT(? ?)'),4326), 0.1)"; 

Query query = Cell.em().createNativeQuery(queryString, Cell.class); 
query.setParameter(1, longitude); 
query.setParameter(2, latitude); 

Answer 7

Ich konfrontiert ähnliches Problem. Ich verwendete native Abfrage im Repository mit? 1. Es wurde aufgelöst, indem der Parameter um Klammern herum wie folgt umgeben wurde.

SELECT * FROM XYZ WHERE ABC = (?1) 

http://javageneralist.blogspot.com/2011/06/jpa-style-positional-param-was-not.html