TA貢獻1827條經驗 獲得超8個贊
PreparedStatement是可行的，因為它們使SQL注入成為不可能。下面是一個簡單的示例，將用戶的輸入作為參數：
public?insertUser(String?name,?String?email)?{
???Connection?conn?=?null;
???PreparedStatement?stmt?=?null;
???try?{
??????conn?=?setupTheDatabaseConnectionSomehow();
??????stmt?=?conn.prepareStatement("INSERT?INTO?person?(name,?email)?values?(?,??)");
??????stmt.setString(1,?name);
??????stmt.setString(2,?email);
??????stmt.executeUpdate();
???}
???finally?{
??????try?{
?????????if?(stmt?!=?null)?{?stmt.close();?}
??????}
??????catch?(Exception?e)?{
?????????//?log?this?error
??????}
??????try?{
?????????if?(conn?!=?null)?{?conn.close();?}
??????}
??????catch?(Exception?e)?{
?????????//?log?this?error
??????}
???}}無論名稱和電子郵件中有哪些字符，這些字符都將直接放在數據庫中。它們不會以任何方式影響INSERT語句。
對于不同的數據類型，有不同的集合方法-使用哪種方法取決于數據庫字段是什么。例如，如果數據庫中有整數列，則應使用setInt方法。籌備情況文件列出所有可用于設置和獲取數據的不同方法。
TA貢獻1871條經驗 獲得超8個贊
舉報