Удалить несколько строк в SQLITE (android)

Question

Я хочу удалить все строки из таблицы, которые соответствуют идентификаторам в массиве. Я могу сделать это с помощью одного из двух методов (оба работают). Не могли бы вы посоветовать, какой из них лучше?

МЕТОД 1:

public void deleteRec(String[] ids) { //ids is an array 
     SQLiteDatabase db = this.getWritableDatabase(); 
     db.delete(TABLE_NAME, KEY_ID+" IN (" + new String(new char[ids.length-1]).replace("\0", "?,") + "?)", ids); 
     db.close(); 
    } 

МЕТОД 2:

public void deleteRec(String[] ids) { //ids is an array 
     String allid = TextUtils.join(", ", ids); 
     SQLiteDatabase db = this.getWritableDatabase(); 
     db.execSQL(String.format("DELETE FROM "+TABLE_NAME+" WHERE "+KEY_ID+" IN (%s);", allid)); 
     db.close(); 
    } 

Answer 1

Просто забыть о втором методе!

Ваши строки ids - это все строки из цифр (иначе SQL завершится с ошибкой), но для общих строковых данных передача данных в операторы SQL никогда не является хорошей идеей. Сделайте ваше приложение уязвимым для инъекции SQL:

String.format("DELETE FROM t WHERE ID='%s', "1' AND 1=1 --") 
// = "DELETE FROM t WHERE ID='1' AND 1=1 --'" => would delete all data! 

и может не ваши заявления SQL:

String.format("DELETE FROM t WHERE v='%s', "It's me!") 
// = "DELETE FROM t WHERE v='It's me!'" => syntactically incorrect (quote not escaped)! 

EDIT: Как ids поставляются в виде массива строк и, вероятно, KEY_ID относится к INT столбец, метод 1 должен быть адаптирован к:

db.delete(TABLE_NAME, "CAST("+KEY_ID+" AS TEXT) IN (" + new String(new char[ids.length-1]).replace("\0", "?,") + "?)", ids); 

Answer 2

читать это documentation он говорит, что вы не должны использовать ExecSQL с INSERT, DELETE, UPDATE или ВЫБРАТЬ, потому что это может быть потенциальный риск безопасности , и все же я считаю, что в отношении производительности первый из них лучше.

Answer 3

попробовать это

public void deleteRec(String[] ids) { //ids is an array 
    SQLiteDatabase db = this.getWritableDatabase(); 
    for (int i = 0; i < ids.length; i++) { 
     //Your code for delete 
    } 
    db.close(); 
} 

Answer 4

Попробуйте maybye это поможет вам:

String[] Ids = ......; //Array of Ids you wish to delete. 
String whereClause = String.format(COL_NAME + " in (%s)", new Object[] { TextUtils.join(",", Collections.nCopies(Ids.size(), "?")) }); 
db.delete(TABLE_NAME, whereClause, Ids);