如何在JDBC语句中设置变量？

Question

String insertStr="INSERT INTO  table1(username1,password1) VALUES(\"john\",\"password\")";

String a=username.getText();
String b=password.getText();

try {
    Class.forName("com.mysql.jdbc.Driver");  
    Connection con=DriverManager.getConnection("jdbc:mysql://localhost:3306/java_db1","root","");  

    Statement stmt=con.createStatement();        
    String insertStr="INSERT INTO  table1(username1,password1) VALUES(a,b);";
    stmt.executeUpdate(insertStr);
} catch (Exception e) { }

Answer 1

使用[PreparedStatement][1]而不是您的方式，因为您的方式可能会成为SQL注入或语法错误的受害者：

String insertStr = "INSERT INTO  table1(username1,password1) VALUES(?, ?)";
try (PreparedStatement pst = con.prepareStatement(insertStr)) {
    pst.setString(1, a);
    pst.setString(2, b);
    pst.executeUpdate();
}

出于安全考虑，我不建议使用gettext()获取密码，而是使用getpassword()，因此可以使用：

pst.setString(1, username.getText());
pst.setString(2, new String(passwordField.getPassword()));

看看这个：

null