передача параметров в JDBC Prectistatement

создание класса валидации для программы Java часто включает в себя запрос базы данных. Следующий код пытается выбрать определенную строку из таблицы с использованием подготовленного параметра:

public class Validation {

    // ...

    public Validation(String userID) {
        try {
            // ...
            statement = con.prepareStatement(
                    "SELECT * from employee WHERE  userID = "   "''"   userID);
            // ...
        } catch (Exception ex) {
            // ...
        }
    }

    // ...
}

, однако, этот код не может работать, потому что оператор SQL не отформатируется правильно. Подготовленный Statatement, используйте метод setString ():

atportion = con.preparestatement ("select * из сотрудника, где userId =?"); atportion.setString (1, userId); Этот метод устанавливает значение первого параметра (?) Для указанного идентификатора пользователя. Он гарантирует, что утверждение отформатировано должным образом и предотвращает инъекцию SQL, уязвимость безопасности, которая возникает, когда злонамеренный код SQL вводится в запрос.