java - JDBC - 如何插入字符串值

Question

当尝试使用 JDBC 将字符串的值插入我的数据库而不是插入字符串的值时，它会插入字符串的名称。

我有一个名为 firstName 的字符串，这个字符串的值由用户输入。

这是我的sql语句:

String sql = "Insert INTO users (ID, firstName, address) VALUES ('124','+firstName()','123')";

Answer 1

出于各种原因，最好使用java.sql.PreparedStatement。执行带有参数的语句。例如，如果您想避免 sql injection攻击。

请参阅 Using Prepared Statements 中的示例来自 The Java Tutorials .

使用带参数的 SQL 语句的优点是您可以使用相同的语句并在每次执行时为其提供不同的值。

PreparedStatement pstmt = conn.prepareStatement(
   "UPDATE EMPLOYEES SET FIRST_NAME= ? WHERE ID = ?");

pstmt.setString(1, "user1080390"); // set parameter 1 (FIRST_NAME)
pstmt.setInt(2, 101); // set parameter 2 (ID)

int rows = pstmt.executeUpdate(); // "rows" save the affected rows