Acabo de terminar un método que recibe a través de una URL unas condiciones de búsqueda, como:
- 1 o más campos por los que filtrar la búsqueda con sus respectivos valores
- 1 o más campos por los que ordenar la búsqueda
- Un límite y un offset (para paginar)
- Un parámetro "exactSearch" que determina si en el WHERE se usarán "=" o "LIKE %%"
Así, la url podría quedar algo así:
http://localhost:9000/empleado/page/1?
fieldSearch=apellido&
valueSearch=lopez&
fieldOrder=oficio&
fieldOrder=emp_no&
typeOrder=asc&
exactSearch=0
Después de terminarlo me doy cuenta de que el método es bastante vulnerable contra la inyección de SQL, y cualquiera podría acceder a todos los registros de la tabla sin mayor problema, o cosas peores.
La cuestión es que no sé cómo crear una consulta usando @Query del tipo:
@Query("SELECT * FROM empleados WHERE id = :id")
...que permita buscar por uno o más campos, u ordenar por uno o más campos, ya que hasta donde yo sé no le puedo pasar los nombre de las columnas por parámetro.
Aunque no sé si es necesario, aquí va lo que tengo hasta ahora:
package com.empresa.repositories;
import java.lang.reflect.Field;
import java.util.ArrayList;
import java.util.List;
import javax.persistence.Column;
import javax.persistence.EntityManager;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.data.jpa.repository.JpaContext;
import com.empresa.models.Empleado;
public class EmpleadoCustomRepositoryImpl implements EmpleadoCustomRepository{
EntityManager em;
@Autowired
public EmpleadoCustomRepositoryImpl(JpaContext context) {
this.em = context.getEntityManagerByManagedType(Empleado.class);
}
public ArrayList<Empleado> findEmpleadosByField(
List<String> fieldSearch,
List<String> valueSearch,
List<String> fieldOrder,
String typeOrder,
int exactSearch,
long pageNo,
long pageSize){
String query = "";
String searchString = "";
String orderString = "";
String searchModeStringStart = "=\"";
String searchModeStringEnd = "\"";
String limitString = "";
List<String> cols = getColumnsNames();
//AQUI NI CASO, PORQUE ESTO ERA PARA VER SI PODÍA NO PASAR NINGÚN CAMPO DE BÚSQUEDA.
//ES OTRO FRENTE CON EL QUE ME TENGO QUE PELEAR
//Compruebo si se ha pasado un campo por el que filtrar
//En caso de que no se haya pasado ninguno, busco 'id LIKE "%%"'
if(fieldSearch.equals(null) || fieldSearch.isEmpty()) {
fieldSearch.clear();
fieldSearch.add("id");
valueSearch.clear();
valueSearch.add("");
exactSearch = 0;
}
//Compruebo si la búsqueda ha de ser exacta
if(exactSearch != 1) {
searchModeStringStart = " LIKE \"%";
searchModeStringEnd= "%\"";
}
//Compruebo que el número de campos por los que se desea filtrar es el mismo que
//la cantidad de valores proporcionados para dichos campos.
if(fieldSearch.size() == valueSearch.size()) {
for(int i = 0; i < fieldSearch.size(); i++) {
//Compruebo que el campo a buscar coincide con el nombre de una columna
//en un vago intento de evitar inyecciones de sql
for(String col : cols) {
if(fieldSearch.get(i).equals(col)) {
if(i == 0) {
searchString = " WHERE " + fieldSearch.get(i) +
searchModeStringStart + valueSearch.get(i) + searchModeStringEnd;
}else{
searchString = searchString + " AND " + fieldSearch.get(i) +
searchModeStringStart + valueSearch.get(i) + searchModeStringEnd;
}
}
}
}
}
// Si no se pasa un modo de ordenar, o se pasa cualquier otra cosa que no sea "ASC" o "DESC",
// se ordena de forma ASC
if(!typeOrder.equals("desc")){
typeOrder = "asc";
}
// Si no se pasa un campo por el que ordenar, ordeno por id
if(fieldOrder.size() == 0) fieldOrder.add("id");
for(int i = 0; i < fieldOrder.size(); i++) {
if(i == 0) {
orderString = " ORDER BY " + fieldOrder.get(0);
}else if(i == fieldOrder.size() -1){
orderString = orderString + ", " + fieldOrder.get(i) + " " + typeOrder;
}else {
orderString = orderString + ", " + fieldOrder.get(i);
}
}
limitString = " LIMIT " + pageNo + ", " + pageSize;
query = "SELECT * FROM empleados" + searchString + orderString + limitString;
System.out.println(query);
@SuppressWarnings("unchecked")
List<Empleado> list = em.createNativeQuery(query, Empleado.class).getResultList();
ArrayList<Empleado> lista = new ArrayList<>();
lista.addAll(list);
return lista;
}
public Empleado findEmpleadoById(Long id) {
Empleado emp = (Empleado) em.createNativeQuery(
"SELECT * FROM empleados WHERE id = " + id, Empleado.class);
return emp;
}
public List<String> getColumnsNames(){
List<String> columns = new ArrayList<String>();
Field[] fields = Empleado.class.getDeclaredFields();
for(Field field: fields) {
Column col = field.getAnnotation(Column.class);
if(col != null) {
columns.add(col.name());
}
}
return columns;
}
}