Passage des paramètres à un jdbc préparéStatement

La création d'une classe de validation pour un programme Java implique souvent la question de la requête d'une base de données. Le code suivant tente de sélectionner une ligne spécifique dans un tableau à l'aide d'un PREPAYSATATION avec un paramètre:

public class Validation {

    // ...

    public Validation(String userID) {
        try {
            // ...
            statement = con.prepareStatement(
                    "SELECT * from employee WHERE  userID = "   "''"   userID);
            // ...
        } catch (Exception ex) {
            // ...
        }
    }

    // ...
}

Cependant, ce code peut ne pas fonctionner parce que l'instruction SQL n'est pas formatée correctement. PreadStatement, utilisez la méthode setString ():

instruction = con.PrepareStatement ("SELECT * FROM EMPLESYEE WHERE UDERID =?"); instruction.SetString (1, userId); Cette méthode définit la valeur du premier paramètre (?) À l'ID utilisateur spécifié. Il garantit que l'instruction est formatée correctement et empêche l'injection de SQL, une vulnérabilité de sécurité qui se produit lorsque le code SQL malveillant est injecté dans une requête.