求助，hibernate查询mysql的一条语句有问题

Question

本帖最后由 ale0012 于 2011-08-17 18:53:58 编辑

Answer 1

Query query = session.createQuery("from User user where user.userName='" + user.getUserName() + "'");

Answer 2

这种写法不能防sql注入，比如那个username含有单引号或者特殊符号的话，就会出错，建议用这种：String hql = " from entity.Member where email = :email and password = :password";
Query q = session.createQuery(hql);
q.setParameter("email", email);
q.setParameter("password", password);
List list = q.list();

Answer 3

这样写不安全,自己百度一下sql注入
顶下4楼

Answer 4

请问各位，为什么查询时数字可以不用加''呢，存在里面的数字不是也是string类型的吗