Миграция StringEscapeUtils.escapeSql из commons.lang

Из Javadocs:

В настоящее время этот метод только превращает одинарные кавычки в двойные одинарные ("McHale's Navy" => "McHale's Navy").

Это был код метода:

  /**
675         * <p>Escapes the characters in a <code>String</code> to be suitable to pass to
676         * an SQL query.</p>
677         *
678         * <p>For example,
679         * <pre>statement.executeQuery("SELECT * FROM MOVIES WHERE TITLE='" + 
680         *   StringEscapeUtils.escapeSql("McHale's Navy") + 
681         *   "'");</pre>
682         * </p>
683         *
684         * <p>At present, this method only turns single-quotes into doubled single-quotes
685         * (<code>"McHale's Navy"</code> => <code>"McHale''s Navy"</code>). It does not
686         * handle the cases of percent (%) or underscore (_) for use in LIKE clauses.</p>
687         *
688         * see http://www.jguru.com/faq/view.jsp?EID=8881
689         * @param str  the string to escape, may be null
690         * @return a new String, escaped for SQL, <code>null</code> if null string input
691         */
692        public static String escapeSql(String str) {
693            if (str == null) {
694                return null;
695            }
696            return StringUtils.replace(str, "'", "''");
697        }

Таким образом, вы можете легко заменить метод простым вызовом String#replace.

Однако есть причина, по которой метод был удален. Это было действительно полусырое, и я не могу придумать вескую причину, по которой вы хотели бы использовать его. Например, для выполнения запросов JDBC вы можете и должны использовать переменные связывания вместо того, чтобы пытаться интерполировать и экранировать строковые литералы.

Если вы используете соединение JDBC, подготовьте оператор с такими параметрами, как:

con.prepareStatement("INSERT INTO table1 VALUES (?,?)");
pstmt.setInt(1, 200);
pstmt.setString(2, "Julie");
pstmt.executeUpdate();

Вам не нужно экранировать какие-либо элементы, которые вы вставляете, используя функции в подготовленном операторе. Они экранируются автоматически.

На этот вопрос уже был дан ответ: Java - escape-строка для предотвращения внедрения SQL

OWASP предлагает API под названием ESAPI, который предоставляет некоторые из этих функций. проверить это.