JDBC MySQL查询语法

Question

我正在使用JDBC尝试从以下表中选择：

CREATE TABLE PERIT (
    COGNOM1 VARCHAR(30) NOT NULL,
    COGNOM2 VARCHAR(30) NOT NULL,
    DATANAIX DATE NOT NULL,
    NOM VARCHAR(30) NOT NULL,
    NIF VARCHAR(10) NOT NULL,
    LOGIN VARCHAR(50) NOT NULL,
    PASSWORDMD5  VARCHAR(50) NOT NULL,
    NUMERO INT(3) NOT NULL AUTO_INCREMENT,
    PRIMARY KEY (NUMERO)
);

我想检查是否存在具有特定login和PASSWORDMD5值的行，如下所示：

public int Login(String Login, String pass) {
    Statement st = null;
    ResultSet rs = null;
    int count =0;
    try {
        st = con.createStatement();
        String consulta = "Select count(*) from Perit p where p.LOGIN =";
        consulta += Login;
        consulta +=" and p.PASSWORDMD5 = MD5(";
        consulta +=pass;
        consulta+=")";
        rs =  st.executeQuery(consulta);
        while (rs.next()) {
            count = rs.getInt(1);
        }
        st.close();
        rs.close();
    } catch (SQLException ex) {
       Logger.getLogger(JDBCMySQL.class.getName()).log(Level.SEVERE, null, ex);
    }

    return count;
}

但当我调用login（“loginPerit1”,“passwordmdPerit”）时,我会得到以下错误：

com.mysql.jdbc.exceptions.jdbc4.mysqlsyntaxerrorexception：sun.reflect.nativeConstructorAccessorImpl.newInstance（nativeConstructorAccessorImpl.newInstance（nativeConstructorAccessorImpl.newInstance（nativeConstructorAccessorImpl.newInstance：62）sun.reflect.delegatingConstructorAccessorImpl.newInstance（ysql.jdbc.statementimpl.executeQuery（statementimpl.java:1369)在info.info.info.jdbcmysql.login（jdbcmysql.java:139)在info.info.info.threadhandler.run（threadhandler.java:56）

Answer 1

正如注释中提到的，您遇到的问题是因为您为登录和密码提供的字符串没有用单引号括起来。

解决这一问题的快速方法是,在包含传入的登录和密码值之前和之后,在定义的sql字符串中包含单引号,如@devilshnd在注释中提到的：

String consulta = "SELECT COUNT(*) FROM Perit WHERE LOGIN = '" + Login + 
"' AND PASSWORDMD5 = MD5('" + pass + "');"

但是，这是一种危险的方法，我强烈建议您不要使用这种方法，因为它会使您的登录sql无法接受sql注入。

为了避免这种情况，您可以使用PreparedStatement，它将为您清理输入。

为此，您可以使用？替换语句参数，然后使用PreparedStatement类的方法设置它们。

下面是一个如何实现这一点的示例：

String consulta = "SELECT COUNT(*) FROM Perit WHERE LOGIN = ? AND PASSWORDMD5 = MD5(?);"
try(PreparedStatement pstmt = con.prepareStatement(consulta))
{
    pstmt.setString(1, login); 
    pstmt.setString(2, pass); 
    try(ResultSet rs = pstmt.executeQuery())
    {
        count = rs.getInt(1);
    }
} 
catch (SQLException ex) 
{
    Logger.getLogger(JDBCMySQL.class.getName()).log(Level.SEVERE, null, ex);
}

方法中的另一个问题是语句和resultset没有在finally块中关闭-这可能导致代码中的内存泄漏。

注意我使用了try with resources块--这将关闭PreparedStatement和ResultSet，就像它们在finally块中关闭一样。

我就把这张xkcd漫画留在这里！