如何在Java使用准备好的报表？

Question

我正在尝试更新我的mySQL数据库中的一个条目。在这里可以很好地工作，例如：

        String sql = "SELECT * FROM entries WHERE user_id = ?";

        PreparedStatement stmt = con.prepareStatement(sql);
        stmt.setInt(1, currUserId);
        System.out.println("Curr User Id: " + currUserId);
        //Execute Query
        ResultSet rs = stmt.executeQuery();

但在这里，我总是得到一个错误，但不知道为什么。

        String sql = "UPDATE entries SET ? = ? WHERE user_id = ? AND id = ?";
        PreparedStatement stmt = con.prepareStatement(sql);
        stmt.setString(1, type);
        stmt.setString(2, value);
        stmt.setInt(3, App.connection.currUserId);
        stmt.setInt(4, id);

        int returnValue = stmt.executeUpdate();

这是我的错误：

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''username' = 'benNeu' WHERE user_id = 13 AND id = 22' at line 1```

Answer 1

您不能参数化对象名称，因此不可能通过准备好的语句设置列名。所以，而不是集？=？，则必须使用set yourcolumn=？，其中yourcolumn是正确的列名。

如果该列是动态的，则需要将其连接到查询字符串中（建议您对照允许的列名列表检查列名，以防止SQL注入问题）。

Answer 2

是否设置了中的参数？=无效。

为什么？

JDBC驱动程序和引擎可以在SQL语句中有限数量的位置应用参数。这些对应于通常可以看到文字值的地方。

您不能使用参数来代替表名、列名（正如您在问题中试图做的那样）和其他SQL子句。记住，应用的是参数，它们不是连接到SQL语句中的。

在SQL语句中应用参数有两个主要好处：

• 安全性：查询不受SQL注入的影响。如果您键入一个危险的代码段作为参数，它不会损害执行；它可能会失败，但不会因此删除整个数据库。
• 性能：当您使用不同的参数值多次调用SQL语句时，该语句将是相同的。这使得引擎中的缓存效率更高，执行速度更快。