请使用java去实现SQL的order by和group by，多个条件中可以为空值

Question

select * from user order by userid,name
在程序中就是user对象userid、name属性，我需要通过这两个属性排序

select sum(age) from user group by userdep;
同样在程序中存在这user bean里面有userdep这属性，根据算法分组获取每个部门的成员总和

Answer 1

不知道你这个问题是否已经解决, 如果还没有解决的话:

• 这篇博客: Java代码审计（7）Sql注入审计中的 3.3.3 order by（group by）语句 部分也许能够解决你的问题, 你可以仔细阅读以下内容或者直接跳转源博客中阅读:
  

  凡是字符串但又不能加引号的位置都不能预编译参数化，这种场景不仅order by，还有group by。
  

  • 防御

    这种场景下，通常采用白名单，只开放有限集合，使用间接对象引用，

    如果传来的参数不在白名单列表中，直接返回错误即可。

如果你已经解决了该问题, 非常希望你能够分享一下解决方案, 写成博客, 将相关链接放在评论区, 以帮助更多的人 ^-^