übertragen Parameter an einen JDBC PreparedStatement

Erstellen einer Validierungsklasse für ein Java -Programm beinhalten häufig die Abfrage einer Datenbank. Der folgende Code versucht, eine bestimmte Zeile aus einer Tabelle mit einem vorbereiteten Anschluss mit einem Parameter auszuwählen:

public class Validation {

    // ...

    public Validation(String userID) {
        try {
            // ...
            statement = con.prepareStatement(
                    "SELECT * from employee WHERE  userID = "   "''"   userID);
            // ...
        } catch (Exception ex) {
            // ...
        }
    }

    // ...
}

Dieser Code funktioniert jedoch möglicherweise nicht, da die SQL -Anweisung nicht korrekt formatiert ist. PrepedStatement, Verwenden Sie die SetString () -Methode:

Anweisung = con.preparestatement ("SELECT * From Mitarbeiter, wo userID =?"); Anweisung.SetString (1, userId); Diese Methode legt den Wert des ersten Parameters (?) auf die angegebene Benutzer -ID fest. Es stellt sicher, dass die Aussage ordnungsgemäß formatiert ist und die SQL -Injektion verhindert, eine Sicherheitsanfälligkeit, die auftritt, wenn böswilliger SQL -Code in eine Abfrage injiziert wird.