パラメーターをjdbc predStatement

に渡すパラメーターをJavaプログラムの検証クラスを作成するには、しばしばデータベースを照会することが含まれます。次のコードは、パラメーターを使用して準備したステートメントを使用してテーブルから特定の行を選択しようとします。 // ... パブリック検証（String userid）{ 試す { // ... ステートメント= con.preparestatement（ "select * from Employee Where where userId =" "''" userid）; // ... } catch（例外Ex）{ // ... } } // ... }

public class Validation {

    // ...

    public Validation(String userID) {
        try {
            // ...
            statement = con.prepareStatement(
                    "SELECT * from employee WHERE  userID = "   "''"   userID);
            // ...
        } catch (Exception ex) {
            // ...
        }
    }

    // ...
}

statement = con.preparestatement（ "select * from Employee Where Where UserId =？"）; Statement.setString（1、userid）;

このメソッドは、指定されたユーザーIDに最初のパラメーター（？）の値を設定します。ステートメントが適切にフォーマットされ、SQLインジェクションを防ぐことが保証されます。これは、悪意のあるSQLコードがクエリに注入されたときに発生するセキュリティの脆弱性です。