LikeSql——让您更优雅地写SQL

?

LikeSql是什么

LikeSql是我写一个开源的小框架（http://code.google.com/p/likesql/），目标是提供一个更优雅地处理SQL的一个方案，希望能够替代PreparedStatement和直接拼接SQL。虽然现在还有没有正式的release版本，我还在为此努力。

?

设计宗旨：

• 专注于优雅地编写SQL和易读性
• 保持细小和灵活

?

一些代码示例：

?

public void testAtStyleExpression(){		LikeSql sql=DML.select("id,name")		               .from("user")		               .where(AtExp.at("(name [email protected] or [email protected]) and [email protected]")		            		                       .set("id", 1)		            		                       .set("name", "John")		            		                       .set("gender", "M"));				String eSql="SELECT id,name FROM user WHERE (name ='John' or id=1) and gender='M'";		String eTpl="SELECT id,name FROM user WHERE (name =? or id=?) and gender=?";				assertEquals(eSql,sql.toString());		assertEquals(eTpl,sql.toTemplate());	}

public void testInExpression(){		LikeSql sSql=DML.select("id,name")		    .from("user")		    .where(QuestExp.qt("id in (?)").set(1,ArrayExp.array(new int[]{1,3,6})));				String eSql="SELECT id,name FROM user WHERE id in (1,3,6)";		String eTpl="SELECT id,name FROM user WHERE id in (?,?,?)";				assertEquals(eSql,sSql.toString());		assertEquals(eTpl,sSql.toTemplate());	}

public void testSimpleSql(){		String eSql="INSERT INTO users (no,id,name,gender,height) VALUES(1,15666662656565,'johny',null,195.36)";		String eTpl="INSERT INTO users (no,id,name,gender,height) VALUES(?,?,?,?,?)";				LikeSql iSql=DML.insertInto("users")		    .value("no", 1)		    .value("id", new BigInteger("15666662656565"))		    .value("name","johny")		    .value("gender",null)		    .value("height", 195.36);				assertEquals(eSql,iSql.toString());		assertEquals(eTpl,iSql.toTemplate());	}

?

LikeSql sql=DML.selectAll()				               .from("user")				               .where(QuestExp.qt("id=? AND gender=?")						                      .set(1, 1)						                      .set(2, 'M'));				PreparedStatement stmt=sql.toPreStatement(con);				System.out.println("Template:"+sql.toTemplate());				System.out.println("SQL:"+sql.toString());				ResultSet rs=stmt.executeQuery();				while(rs.next()){					System.out.println(rs.getString("name"));				}

?

LikeSql不是什么

• LikeSql不是ORM框架
• LikeSql不是重复发明iBatis，Hibernate

?

为什么会有LikeSql

LikeSql的计划

1. 尽快完善文档，释出release版本（希望年内达成吧）
2. 编写教程和例子
3. 建立反馈渠道和讨论圈子
4. 和其他框架的集成

?

关于LikeSql的名字

?

Like有两层意思，一个相似，像的意思，就是希望这个框架写起来与SQL文本很相近，易读性强；另一个意思是喜欢，希望使用它的用户能够喜欢写SQL。

?

?

欢迎加入这个项目，欢迎指教和讨论。

25 楼 osprey 2010-12-03  

为了灵活而灵活却放弃了PreparedStatement最重要的两点
1.安全:你的工具无法避免sql注入
2.性能:你的工具也无法让数据库重复利用执行计划(oracle10g以后也许区别不大)

同时,请参看mybatis,也就是ibatis3.0的实现,已经实现了你的功能,包括元注释和代码内嵌入SQL,但是还是用的PreparedStatement ,因为上述两点.
开源框架存在总是有理由的,jdbc的PreparedStatement 出现也是因为实际使用中的要求,这种要求从java出现之前的c时代就有了.

27 楼 osprey 2010-12-03  

osprey 写道

为了灵活而灵活却放弃了PreparedStatement最重要的两点
1.安全:你的工具无法避免sql注入
2.性能:你的工具也无法让数据库重复利用执行计划(oracle10g以后也许区别不大)

同时,请参看mybatis,也就是ibatis3.0的实现,已经实现了你的功能,包括元注释和代码内嵌入SQL,但是还是用的PreparedStatement ,因为上述两点.
开源框架存在总是有理由的,jdbc的PreparedStatement 出现也是因为实际使用中的要求,这种要求从java出现之前的c时代就有了.

特别说明,避免sql注入的最终手段,不是靠LZ先前文章中所述的过滤类似 update等 关键字就可以解决的,因为这样会有下面的问题:
1.如果本身字段是个varchar的备注域,备注内填写的内容是"update the record",那就会导致要么插入记录异常,要不就变成"**** the record",这不是应用要求的真实表达,当然,LZ现在做的应用是国内的,一般很少会用英文写作.
2.sql注入还有所谓的转义sql注入,请LZ参看相关文档,对于转义sql注入,关键字过滤是苍白的.
市面上所谓的前端sql注入放火墙就存在上面的问题,只是用来忽悠一些人而已,因为这是置标,不是置本的方法.
而PreparedStatement 是避免sql最好最终手段,因为PreparedStatement 里的?告诉了数据库本身,这个?是参数,而不是sql语句的执行部分,就算这个?相对应的参数是"update table set xxx=xx",它也认为这个是字符串而已,不会当作sql语句执行.

所以LZ一直要避免使用PreparedStatement ,就因为它不让你爽,但是如果想通过自己的工具自己组SQL直接执行,就必须面对我前面所说的两个问题,黑客和性能不让你爽,这也是大部分使用广泛的SQL封装工具选用PreparedStatement 的原因.
综上所述,赞同你的钻研精神,但是优雅是要有代价的,而你的工具面临安全和性能的双重约束,如果用在没有安全要求和性能要求的地方也行是可以的,但只要有安全要求,基本就会crack掉.在这种意义上,这种工具反而是有害的. .

33 楼 yawei 2010-12-09  

I think it's a good idea. it's very useful when using sql query directly, like for reporting.