JDBC IN 句のパラメータ化: 効率的なアプローチ

SELECT * FROM MYTABLE WHERE MYCOL in ( などの IN 句クエリを処理する場合?)、引数をパラメータ化することで、セキュリティと効率が確保されます。 JDBC は直接的な解決策を提供しませんが、特定のドライバーは PreparedStatement#setArray().

パラメータ化のヘルパー メソッド

をサポートする場合があります。直接サポートがない場合は、ヘルパー メソッドを活用して、IN 句のプレースホルダーを生成し、値を動的に設定できます。

• preparePlaceHolders(int length): 指定された長さのプレースホルダーのカンマ区切りリストを生成します。
• setValues(PreparedStatement prepareStatement, Object...values): PreparedStatement#setObject() を使用してループ内に値を設定します。

実装例

次のデータ アクセス方法を考えてみましょう。

private static final String SQL_FIND = "SELECT id, name, value FROM entity WHERE id IN (%s)";

public List find(Set ids) throws SQLException {
    List entities = new ArrayList();
    String sql = String.format(SQL_FIND, preparePlaceHolders(ids.size()));

    try (
        Connection connection = dataSource.getConnection();
        PreparedStatement statement = connection.prepareStatement(sql);
    ) {
        setValues(statement, ids.toArray());

        try (ResultSet resultSet = statement.executeQuery()) {
            while (resultSet.next()) {
                entities.add(map(resultSet));
            }
        }
    }

    return entities;
}

重要な考慮事項

• データベースによって、IN 句で許可される値の数が制限される場合があります。
• このアプローチにより、異なるデータベース間での移植性が保証されます。 SQL ステートメントの生成を値の設定から分離することによって。