Java中的语句问题

Question

这是我的方法：

 @Override
public void deleteOneRecord(String tableName, String id) throws ClassNotFoundException, SQLException{
   // Validate the parameters here.

   // String sql = "DELETE FROM " + tableName + " WHERE " + column + "=" + value;
    String pKeyColumnName = "";
   // Statement stmt = conn.createStatement();

    DatabaseMetaData dmd = conn.getMetaData();

    ResultSet rs = dmd.getPrimaryKeys(null, null, tableName);
    while(rs.next()){
        pKeyColumnName = rs.getString("COLUMN_NAME");
        System.out.println("PK column name is " + pKeyColumnName);
    }
    //String sql = "delete from " + tableName + " where " + pKeyColumnName + "=" + id;

    String sql2 = "delete from ? where ?=?";

    PreparedStatement pstmt = conn.prepareStatement(sql2);
    pstmt.setString(1, tableName);
    pstmt.setString(2, pKeyColumnName);
    pstmt.setInt(3, Integer.parseInt(id));

    pstmt.executeUpdate(); 
}

这是我的测试主测试：

public static void main(String[] args) throws ClassNotFoundException, SQLException {
    DBStrategy db = new MySqlDBStrategy();
    db.openConnection("com.mysql.jdbc.Driver", "jdbc:mysql://localhost:3306/book", "root", "admin");
    System.out.println(db.findAllRecords("author", 0).toString());
    db.deleteOneRecord("author", "2");
    System.out.println(db.findAllRecords("author", 0).toString());
    db.closeConnection();

}

db对象工作，打开连接工作，我的find all records方法工作，然后我的deleteOneRecord崩溃。我收到以下错误：

线程“main”中的异常com.mysql.jdbc.exceptions.jdbc4. MySQLSyntaErrorException：您的SQL语法有错误；检查与您的MySQL服务器版本对应的手册，以在第1行的“作者”附近使用正确的语法，其中“author_id”=2

现在我的语法没有改变，几分钟前我只是将此代码作为语句运行，没有问题，所以我一定是以某种方式错误地使用了准备语句。

任何帮助都将不胜感激。

Answer 1

我不相信您可以为表名或列名使用参数。您必须将它们连接到字符串中。根据它们的来源，小心SQL注入漏洞！