Как выполнить запрос по grails с использованием параметров из gsp?

Question

Мне нужно знать, как выполнить собственный SQL-запрос на grails с помощью параметров?
В настоящее время у меня есть запрос String, который содержит некоторый SQL, который связан с 3 таблицами и UNION.
Идея заключается в том, чтобы выполнить запрос, используя значение данного «Params» из GSP файла вызова же, как это сделано, делая как: DomainClass.list (Params)

Мой вызов в настоящее время:

 def session = sessionFactory.getCurrentSession() 
     def results = session.createSQLQuery(query).list() 

Как я могу вызвать запрос выполнения с помощью параметров?

Answer 1

Почему вы не используете Dynamic Finders или Create Criteria? Интересно, может ли размещение ваших параметров в String подвергнуть вас атаке SQL Injection (ненужный риск).

Dynamic Finders будет выглядеть следующим образом:

Company ACME = Company.findByName(params.MyValue) 
Product.findAllByManufacturer(params.MyValue) 
Product.findAllByManufacturerAndSalesPriceBetween(params.MyValue, 200, 500) 

и критерии выглядит следующим образом:

Transaction.createCriteria().list { 
    projections { 
     groupProperty 'product' 
     sum 'quantity' 
    } 

    product { 
     manufacturer { 
      eq 'id', params.MyValue 
     } 
    } 
} 

Эти примеры я взял из этого превосходного учебника:

http://tatiyants.com/how-and-when-to-use-various-gorm-querying-options/

Серьезно, не пла Параметры запроса в строке.

Answer 2

См. Ссылку this для ссылки на Groovy.

Ваш самый простой вариант, чтобы впрыснуть dataSource боб и генерировать объект SQL из него, например, так:

def dataSource 

def someMethod() { 
    def sql = new Sql(dataSource) 
    sql.eachRow("select this, that from table where q = ${params.q} limit ${params.max}") { row -> 
     //...do some work here or use a different method on the SQL object 
    } 
} 

Groovy не просто делать обычную строку интерполяции, но на самом деле преобразовать значения в параметры, которые могут безопасно передаваться в базу данных.