java - 带有变量的 jdbc 动态 sql 查询

Question

我问这个是因为我找不到答案。

我正在做的是

 String selectTableSQL = "SELECT * FROM diseaseinfo WHERE diseaseName =""+diseaseName +'" AND name = '"+username+"'";

除非并且直到疾病不包含的类型的词，否则它是完美的运行

Wilms' tumor

Addison's disease

等....

像这样查询

SELECT * FROM diseaseinfo WHERE diseaseName = 'Adult Still's disease' AND name = 'add';

不会执行，因为 ' ' 在 'Adult Still's 上

而且在 Java 中，我不能以 String selectTableSQL = ' '; 开始字符串，它总是在 String selectTableSQL = "";

有什么解决办法吗？

Answer 1

为避免这种情况和任何语法错误或 SQL 注入(inject)，您必须改用 PreparedStatement:

String selectTableSQL = "SELECT * FROM diseaseinfo WHERE col1 = ? and col2 = ?";
try (PreparedStatement ps = connection.prepareStatement(selectTableSQL)) {

    ps.setString(1, value_1);
    ps.setString(2, value_2);
    ResultSet rs = ps.executeQuery();
    while(rs.next()){
        //...
    }
}