Passando parâmetros para um jdbc preparadostatement

criando uma classe de validação para um programa Java geralmente envolve a consulta de um banco de dados. O código a seguir tenta selecionar uma linha específica de uma tabela usando um estatuto preparado com um parâmetro:

public class Validation {

    // ...

    public Validation(String userID) {
        try {
            // ...
            statement = con.prepareStatement(
                    "SELECT * from employee WHERE  userID = "   "''"   userID);
            // ...
        } catch (Exception ex) {
            // ...
        }
    }

    // ...
}

No entanto, esse código pode não funcionar porque a instrução SQL não é formatada corretamente. Preparadostatement, use o método setString ():

declaração = con.preparestatement ("selecione * do funcionário onde userID =?"); Declaration.SetString (1, UserID); Este método define o valor do primeiro parâmetro (?) para o ID de usuário especificado. Ele garante que a afirmação seja formatada corretamente e evita a injeção de SQL, uma vulnerabilidade de segurança que ocorre quando o código SQL malicioso é injetado em uma consulta.