Hibernate SQLQuery 原生SQL参数赋值自设，防止数据泄露（安全性）

安全性考虑

通常我们写sql语句代码的时候都是直接把需要查询的数据赋值给参数，这样的话可能会引发安全问题，因此要使用Hibernate 的原生sql来保证数据的安全。下面我就做一个简单的例子。

参数值自设储存

String sql = "select * from pubuser where str1 = str1 and str2 = str2 and str3 = str3";
通常原生sql我们都是通过这个格式来进行查询。
getEntityDao().executeSQL(sql.toString(), str1, str2, ---);
但是sql语句比较复杂时或者sql语句多条件判断时，我们无法确定具体的字段个数与字段，这时候就需要自己设一个集合将所需要查询的参数值给储存起来。
List<Object> param = new ArrayList<Object>();
sql = "select * from pubuser where str1 = ? and str2 = ? and str3 = ?";
param.add(str1);
param.add(str2);
param.add(str3);
param.add(...);


把参数值改为?并在对应的代码下面将值储存到param集合当中，这样的话我们就将查询所需条件的值全部都拿到了

参数值获取

前面已经将查询所需字段值全部都保存了，现在查询就是要获取所需字段数据了

int ind = 0;
int len = param.size(); 
//自己设一个对象数组
Object[] obj = new Object[len];
//将集合的值赋给对数组的位置
for (Object params:param) {
	obj[ind] = params;
	ind++;
}
//这样我们查询所需字段的值就保存到obj对象数组中去了
//放入对应参数
Query query = session.createSQLQuery(sql.toString());
if (obj != null && obj .length > 0) {
	for (int i = 0; i < obj .length; i++) {
		query .setString(i, obj [i].toString());
	}
}
List list= query.list();

这样原生sql查询就完成了，保证重要参数不会泄露了