使用 NamedParameterJdbcTemplate 从文件中读取参数化查询解决来自 Checkmarx 的 SQL 注入错误

问：

查询是从 java spring boot 应用程序的 resources 文件夹中的文件中读取的。 如何在下面的代码中防止Checkmarx出现此Sql注入错误？

@Repository
public class ItemRepository {

  @Autowired
  NamedParameterJdbcTemplate jdbcTemplate;

  public List<Item> getData(String action) {
    String sql = IOUtils.toString(getClass().getResourceAsStream("queries/query.sql"));
    MapSqlParameterSource parameters = new MapSqlParameterSource();
    parameters.addValue("action", action, Types.VARCHAR);

    try {
      List<Item> items = jdbcTemplate.query(sql, parameters, new ItemMapper());
      return items;
    } catch (EmptyResultDataAccessException ex) {
      return new ArrayList<>();
    }
  }
}

错误信息：

应用程序的方法在 的第 13 行使用 执行 SQL 查询。应用程序通过将不受信任的字符串嵌入到查询中来构造此 SQL 查询，而无需进行适当的清理。串联的字符串被提交到数据库，在那里它被解析并相应地执行。
攻击者可以通过构建恶意有效负载并通过输入提供它，将任意语法和数据注入 SQL 查询;然后，此输入由 的第 8 行中的方法读取。然后，此输入流经代码，进入查询并流向数据库服务器 - 无需清理。
这可能会引发 SQL 注入攻击。getDataqueryItemRepository.javatoStringgetDataItemRepository.java