Question

Является ли метод query() предоставленным SQLiteDatabase классом безопасным для использования, не беспокоясь о SQL-инъекциях?

db.query(TABLE,cols,COL_ID + " = '" + id + "' AND " + COL_FROM + " = '" + from + "'",null,null,null,null); 

The id и from переменных полностью неэкранированный.

Или следующий безопасный путь?

"column=? OR column2=?", 
     new String[] {"value1", "value2"} 

Answer 1

ли query() метод, предоставляемый SQLiteDatabase класса безопасной для использования, не беспокоясь о инъекций SQL?

No.

query(), по существу, лишь обертка для SQLiteQueryBuilder и создает необработанное заявление SQL, который получает выполняется как есть.

Или следующий безопасный путь?

Не строго говоря только, но простой и безопасный способ, да.

(Обратите внимание, что вы перешли AND к OR.)