Comment Java PreparedStatement de travail?

J'ai l'intention de remplacer plusieurs reprises Instruction exécutée objets avec PreparedStatement des objets pour améliorer les performances. Je suis en utilisant des arguments comme la fonction MySQL now(), et les variables de chaîne de caractères.

La plupart des PreparedStatement requêtes, j'ai vu des contenus des valeurs constantes (comme 10, et comme les chaînes "New York") que les arguments utilisés pour la ? dans les requêtes. Comment pourrais-je aller sur l'aide de fonctions comme now(), et les variables comme arguments? Est-il nécessaire d'utiliser la ?s dans les requêtes au lieu de valeurs réelles? Je suis tout à fait confus.

Demandez-vous si vous pouvez utiliser une Chaîne de valeur de la fonction à la place d'une Chaîne de caractères littérale? Demandez-vous si vous pouvez utiliser un int valeur de la fonction à la place d'un littéral entier? Pouvez-vous fournir un extrait de code?

OriginalL'auteur Epitaph | 2009-01-07

  1. 9

    Si vous avez des variables d'utiliser le '?'

    int temp = 75;
PreparedStatement pstmt = con.prepareStatement(
    "UPDATE test SET num = ?, due = now() ");
pstmt.setInt(1, temp); 
pstmt.executeUpdate():

    Produit un sql déclaration qui ressemble à:

    UPDATE test SET num = 75, due = now();

    OriginalL'auteur Mark

  2. 11

    Si vous avez une variable qui vient de la saisie de l'utilisateur, il est essentiel que vous employez ? plutôt que de concaténation de chaînes de caractères. Les utilisateurs peuvent saisir une chaîne de caractères à des fins malveillantes, et si vous laissez tomber la chaîne directement en SQL, il peut exécuter une commande vous n'avez pas l'intention.

    Je me rends compte de ce que l'on est galvaudé, mais il le dit parfaitement:

    Comment Java PreparedStatement de travail?

    Je crois, tu veux dire des Injections SQL.

    OriginalL'auteur Marcus Downing

  3. 0

    Vous n'avez pas à utiliser des espaces réservés dans un PreparedStatement. Quelque chose comme:

    PreparedStatement stmt = con.prepareStatement("select sysdate from dual");

    serait très bien fonctionner. Cependant, vous ne pouvez pas utiliser un espace réservé, puis la lier à un appel de fonction. Quelque chose comme cela ne peut pas être utilisé pour appeler la fonction sysdate:

    PreparedStatement stmt = con.prepareStatement("select ? from dual");
stmt.setSomethingOrOther(1, "sysdate");

    OriginalL'auteur Kenster

  4. 0

    Si vous appelez des fonctions intégrées de votre serveur SQL puis utilisez PreparedStatement.

    Si vous êtes à l'appel de procédures stockées qui ont été chargés sur votre serveur SQL server, puis utiliser CallableStatement.

    Utilisation des points d'interrogation comme des espaces réservés pour la fonction/procédure de paramètres que vous passez et en fonction des valeurs de retour que vous recevez.

    OriginalL'auteur JohnnySoftware

  5. 0

    J'ai développé une fonction qui vous permet d'utiliser des paramètres nommés dans vos requêtes SQL:

    private PreparedStatement generatePreparedStatement(String query, Map<String, Object> parameters) throws DatabaseException
{
String paramKey = "";
Object paramValue = null;
PreparedStatement statement = null;
Pattern paramRegex = null; 
Matcher paramMatcher = null;
int paramIndex = 1;
try
{
//Create the condition
paramRegex = Pattern.compile("(:[\\d\\w_-]+)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE);
paramMatcher = paramRegex.matcher(query);
statement = this.m_Connection.prepareStatement(paramMatcher.replaceAll("?"),
ResultSet.TYPE_FORWARD_ONLY,
ResultSet.CONCUR_READ_ONLY, 
ResultSet.HOLD_CURSORS_OVER_COMMIT);
//Check if there are parameters
paramMatcher = paramRegex.matcher(query);
while (paramMatcher.find()) 
{
paramKey = paramMatcher.group().substring(1);
if(parameters != null && parameters.containsKey(paramKey))
{
//Add the parameter 
paramValue = parameters.get(paramKey);
if (paramValue instanceof Date) 
{
statement.setDate(paramIndex, (java.sql.Date)paramValue);                 
} 
else if (paramValue instanceof Double) 
{
statement.setDouble(paramIndex, (Double)paramValue);                  
} 
else if (paramValue instanceof Long) 
{
statement.setLong(paramIndex, (Long)paramValue);                  
} 
else if (paramValue instanceof Integer) 
{
statement.setInt(paramIndex, (Integer)paramValue);                
} 
else if (paramValue instanceof Boolean) 
{
statement.setBoolean(paramIndex, (Boolean)paramValue);                
} 
else 
{
statement.setString(paramIndex, paramValue.toString());     
}
}
else
{
throw new DatabaseException("The parameter '" + paramKey + "' doesn't exists in the filter '" + query + "'");
}
paramIndex++;
}
}
catch (SQLException  l_ex) 
{
throw new DatabaseException(tag.lib.common.ExceptionUtils.getFullMessage(l_ex));
}
return statement;
}

    Vous pouvez l'utiliser de cette façon:

    Map<String, Object> pars = new HashMap<>();
pars.put("name", "O'Really");
String sql = "SELECT * FROM TABLE WHERE NAME = :name";

    OriginalL'auteur Héctor Espí Hernández