pase de parámetros a un JDBC preparado en preparación

creando una clase de validación para un programa Java a menudo implica consultar una base de datos. El siguiente código intenta seleccionar una fila específica de una tabla utilizando una TEPRESPECTATION con un parámetro:

public class Validation {

    // ...

    public Validation(String userID) {
        try {
            // ...
            statement = con.prepareStatement(
                    "SELECT * from employee WHERE  userID = "   "''"   userID);
            // ...
        } catch (Exception ex) {
            // ...
        }
    }

    // ...
}

sin embargo, este código puede no funcionar porque la instrucción SQL no está formateada correctamente.

solución:

para pasar correctamente un parámetro a un Preparado Statement, use el método setString ():

statement = con.prepareStatement("SELECT * from employee WHERE  userID = ?");
statement.setString(1, userID);

Este método establece el valor del primer parámetro (?) A la ID de usuario especificada. Asegura que la declaración se formatee correctamente y evite la inyección SQL, una vulnerabilidad de seguridad que ocurre cuando el código SQL malicioso se inyecta en una consulta.

para obtener más información sobre el uso de Estataciones Preparadas, consulte los tutoriales Java.