一、前言
HQL(Hibernate QueryLanguage) 是面向對象的查詢語言，它和SQL查詢語言有些相似。
二、文法
1、
select/update/delete…… from …… where …… group by …… having ……order by …… asc/desc 2、select 語句
A、查詢出來整個映射對象
String hql = "from Users";
Query query = session.createQuery(hql);
List<Users> users = query.list(); B、查詢對應的字段
//查詢其中幾個字段
String hql = " select name,passwd from Users";
Query query = session.createQuery(hql);
//預設查詢出來的list裡存放的是一個Object數組
List<Object[]> list = query.list(); C、修改預設查詢結果(query.list())不以Object[]數組形式傳回，以List形式傳回
//查詢其中幾個字段,添加new list(),注意list裡的l是小寫的。也不需要導入包，這樣通過query.list()出來的list裡存放的不再是預設的Object數組了，而是List集合了
String hql = " select new list(name,passwd) from Users";
Query query = session.createQuery(hql);
//預設查詢出來的list裡存放的是一個Object數組，但是在這裡list裡存放的不再是預設的Object數組了，而是List集合了
List<List> list = query.list(); D、HQL語句執行寫好的SQL語句
String sql="update Table set field = 'test'"
Session session = HibernateSessionFactory.getSession();
session.createSQLQuery(sql).executeUpdate();
ts.commit(); 3、關聯查詢
HQL的連接配接類型
- inner join 内連接配接，可簡寫為join
- left outer join 左外連接配接，可簡寫為left join
- right outer join 右外連接配接，可簡寫為right join
- full join 全連接配接，并不常用
開始之前請注意表之間的關系已經建好，由一對多的一方開始關聯開始查起。
a、 隐式連接配接：
// 這裡的room其實是實體類Student 中的一對多建立的關聯
from Student s where s.room.id=1 b、 顯示連接配接
from Student s left join fetch s.room r where r.id=1 使用顯式連接配接時，還可通過HQL的關鍵字with來提供額外的連接配接條件。
Hibernate會将這種顯式連接配接轉換成 SQL99 多表連接配接的文法，是以 HQL 語句中的with關鍵字的作用基本等同于 SQL99 中的 on 關鍵字的作用：都用于指定連接配接條件。通過在 HQL 語句中使用 with 關鍵字，可以讓 HQL語句執行非等值連接配接查詢。
c、隐式連接配接和顯式連接配接的差別：
① 隐式連接配接底層将轉換成 SQL99 的交叉連接配接，顯式連接配接底層将轉換成 SQL99 的 inner join 、left join、right join 等連接配接。
② 隐式連接配接和顯式連接配接查詢後傳回的結果不同。
4、from子句
from 關鍵字後緊跟持久化類的類名。例如: from Person 表明從Person持久化類中選出全部的執行個體。
from 後還可同時出現多個持久化類，此時将産生一個笛卡爾積或跨表的連接配接，但實際上這種用法很少使用，因為通常當我們可能需要使用跨表的連接配接時，可以考慮使用隐式連接配接或顯式連接配接，而不是直接在from後緊跟多個表名。
5、聚合函數
HQL也支援在選出的屬性上，使用聚集函數。HQL支援的聚集函數與SQL的完全相同：
- avg 計算屬性平均值
- count 統計選擇對象的數量
- max 統計屬性值的最大值
- min 統計屬性值的最小值
- sum 計算屬性值的總和
6、批量函數
UPDATE | DELETE FROM ? <ClassName> [ WHERE WHERE_CONDITIONS ] 關于上面的文法格式有如下4點值得注意;
① 在 FORM 子句中，FROM 關鍵字是可選的，即完全可以不寫FROM關鍵字。
② 在 FORM 子句中隻能有一個類名，該類名不能有别名。
③ 不能在批量 HQL 語句中使用連接配接，顯式或隐式的都不行。但可以在 WHERE 子句中使用子查詢。
④ 整個 WHERE 子句是可選的。WHERE 子句的文法和 HQL 子句的文法完全相同。
Transaction txt=session.beginTransaction();
String hqlUpdate="update User set name=:newName";
int updatedEntities=session.createQuery(hqlUpdate).setString("newName","新名字").executeUpdate();
txt.commit();
session.close(); Query.executeUpdate( ) 方法傳回一個整型值，該值是受此操作影響的記錄數量。我們知道，Hibernate 的底層操作實際上是由JDBC完成的，是以，如果有批量的 update 或 delete 操作被轉換成多條 update 或delete 語句，該方法将隻能傳回最後一條SQL語句影響的記錄行數。
7、綁定參數
A、按參數名稱綁定
在HQL語句中定義命名參數要用”:”開頭，形式如下：
Query query=session.createQuery("from User user where user.name=:customername and user:customerage=:age");
query.setString("customername",name);
query.setInteger("customerage",age); 上面代碼中用 :customername 和 :customerag e分别定義了命名參數 customername 和 customerage ，然後用Query接口的 setXXX() 方法設定名參數值，setXXX() 方法包含兩個參數，分别是命名參數名稱和命名參數實際值。
B、按參數位置邦定
在HQL查詢語句中用”?”來定義參數位置，形式如下：
Query query=session.createQuery(“from User user where user.name=? and user.age =? ”);
query.setString(0,name);
query.setInteger(1,age); 同樣使用 setXXX() 方法設定綁定參數，隻不過這時 setXXX() 方法的第一個參數代表邦定參數在 HQ L語句中出現的位置編号（由0開始編号），第二個參數仍然代表參數實際值。
tips：在實際開發中，提倡使用按名稱邦定命名參數，因為這不但可以提供非常好的程式可讀性，而且也提高了程式的易維護性，因為當查詢參數的位置發生改變時，按名稱邦定名參數的方式中是不需要調整程式代碼的。
C、setParameter()方法
在Hibernate的HQL查詢中可以通過setParameter()方法邦定任意類型的參數，如下代碼：
String hql=”from User user where user.name=:customername ”;
Query query=session.createQuery(hql);
query.setParameter(“customername”,name,Hibernate.STRING); 如上面代碼所示，setParameter()方法包含三個參數，分别是命名參數名稱，命名參數實際值，以及命名參數映射類型。對于某些參數類型setParameter()方法可以根據參數值的Java類型，猜測出對應的映射類型，是以這時不需要顯示寫出映射類型，像上面的例子，可以直接這樣寫：
// 但是對于一些類型就必須寫明映射類型，比如 java.util.Date 類型，因為它會對應 Hibernate 的多種映射類型，比如 Hibernate.DATA 或者 Hibernate.TIMESTAMP
query.setParameter(“customername”,name); D、setProperties() / setEntity() 方法
在Hibernate中可以使用setProperties()方法，将命名參數與一個對象的屬性值綁定在一起，如下程式代碼：
Customer customer=new Customer();
customer.setName(“pansl”);
customer.setAge(80);
Query query=session.createQuery(“from Customer c where c.name=:name and c.age=:age ”);
query.setProperties(customer); setProperties()方法會自動将customer對象執行個體的屬性值比對到命名參數上，但是要求命名參數名稱必須要與實體對象相應的屬性同名。
這裡還有一個特殊的setEntity()方法，它會把命名參數與一個持久化對象相關聯，如下面代碼所示：
Customer customer=(Customer)session.load(Customer.class,”1”);
Query query=session.createQuery(“from Order order where order.customer=:customer ”);
query. setEntity(“customer”,customer);
List list=query.list(); 上面的代碼會生成類似如下的SQL語句：
select * from order where customer_ID=’1’; E、使用綁定參數的優勢
我們為什麼要使用綁定命名參數？任何一個事物的存在都是有其價值的，具體到綁定參數對于HQL查詢來說，主要有以下兩個主要優勢：
①、 可以利用資料庫實施性能優化，因為對 Hibernate 來說在底層使用的是 PrepareStatement 來完成查詢，是以對于文法相同參數不同的SQL語句，可以充分利用預編譯SQL語句緩存，進而提升查詢效率。
②、 可以防止SQL Injection安全漏洞的産生，比如SQL 注入的問題。
以下是 SQL Injection 産生的原因：
SQL Injection是一種專門針對SQL語句拼裝的攻擊方式，比如對于我們常見的使用者登入，在登入界面上，使用者輸入使用者名和密碼，這時登入驗證程式可能會生成如下的HQL語句：
"from User user where user.name='"+name+"' and user.password='"+password+"'" 這個HQL語句從邏輯上來說是沒有任何問題的，這個登入驗證功能在一般情況下也是會正确完成的，但是如果在登入時在使用者名中輸入"JMCui or 'x'='x'，這時如果使用簡單的HQL語句的字元串拼裝，就會生成如下的HQL語句：
"from User user where user.name='JMCui' or 'x'='x' and user.password='admin'"; 顯然這條HQL語句的where字句将會永遠為真，而使使用者密碼的作用失去意義，這就是SQL Injection攻擊的基本原理。
而使用綁定參數方式，就可以妥善處理這問題,當使用綁定參數時，會得到下面的HQL語句：
from User user where user.name="JMCui or ’x=x'" and user.password=’admin’; 由此可見使用綁定參數會将使用者名中輸入的單引号解析成字元串（如果想在字元串中包含單引号，應使用重複單引号形式），是以參數綁定能夠有效防止SQL Injection安全漏洞。
8、其他
子查詢 where/order by/groud by 基本與SQL無異。
having子句用于對分組進行過濾，是以having子句隻能在有group by子句時才可以使用。沒有group by子句，不能使用having。