PreparedStatement预编译无法用?占位符替换表名和字段名

最新推荐文章于 2021-11-19 12:49:58 发布
原创 最新推荐文章于 2021-11-19 12:49:58 发布 · 7.1k 阅读 · 5 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#java #SQL #PreparedStatement #预编译 #数据库

本文详细介绍了PreparedStatement的概念及优势，它是Statement的改进版本，具有预编译功能，可以提高代码的执行效率。文章还阐述了如何利用?占位符进行参数替换，并通过setXXX方法注入字段值，同时强调了?占位符不能用于表名、字段名或其他SQL关键词的替换。

PreparedStatement是Statement的改良版，具有预编译功能，方便使用，运行速度快。

可以通过?占位符把字段值替换，之后通过setXXX方法，注入字段值。

但是?占位符只能替换字段值，不能替换表名、字段名或者其他关键词。

JDBC常见异常(10)—预编译模式下占位符动态排序字段失效
梦凝哲雪
05-31 777
PreparedStatement用占位符防止SQL注入的原理是，在为占位符设置值时，会将值转为字符串，然后转义，再将值放入反引号中，放置在占位符的位置上。执行SQL时，如果order by之后的排序字段使用占位符，通过setString设置值的话，会导致排序失效。需要根据不同的列进行对应的排序操作，实现动态列名排序 类似🐟动态查询或更新。，导致排序失效，甚至任意的注入数值都不影响前面的查询结果。因此，当排序字段使用占位符后，原来的排序语句。但是JDBC预编译模式下占位符的排序字段失效。
Java社招面试题：MyBatis为什么需要预编译？我用这次面试经历讲透了！
孤芳不自赏
06-17 905
在一次社招面试中，我被问到一个看似简单却暗藏玄机的问题：“MyBatis 为什么需要预编译？”这让我重新审视了开发中最熟悉的工具。今天，我用故事讲透它的底层原理与真实价值。
PreparedStatement 不能用？代替表名的原因
qq_39015329的博客
08-24 2816
PreparedStatement 不能用？代替表名的原因：preparedStatement代替 ？ 的string都是用‘ ’单引号包裹着，导致sql认为我的表名是个字符串，所以报错。
JAVA——prepareStatement中SQL语句中占位符(?)替换表名和字段名
无限迭代中......
01-11 5725
基本概念 PreparedStatement：Statement的改良版，具有预编译功能，方便使用，运行速度快。 问题描述 1.根据测试占位符?不能用于表名 String strSql="SELECT * FROM ?"; try(PreparedStatement ps=conn.prepareStatement(strSql)) { ps.setObject(1,"per...
java createstatement,java – 无法使用preparedStatement创建表
weixin_36481714的博客
03-19 399
我无法在数据库(mySQL)中创建表,使用preparedStatement并尝试使用preparedStatement.setInteger()输入future表的名称：static String queryCreateTable = "CREATE TABLE ?" +"(ID INTEGER not NULL ," +"BRAND VARCHAR(40)," +"MODEL VARCHAR(...
java的JDBC中 占位符的使用问题， PreparedStatement 的 ？占位符不可用来设置字段名，表名
qq_45401638的博客
10-28 5755
1. 博主今天被一个问题给困扰半天 就是当 String sql = "select * from user where ?=? "; 在jdbc中的sql语句这样写的时候 控制台 一条数据都查询不出来，究其原因就是？不能作为字段名和表名的占位符 PreparedStatement会为占位符?的两边自动加上单引号，这样会使得SQL语句不可执行，比如使用将表名设置为占位符，数据库执行sql语...
java PreparedStatement 占位符问题
JhinDeng
03-30 3812
这是只是做一个记录，也可以给有疑惑的同学参考一下。 先说遇到的问题：   prep = conn.prepareStatement("select * from "+ tableName); // prep.setString(1, tableName);//使用占位符报错,解决：占位符，只是用来表示值，不能用来替代表明 ResultSet result
Mybatis动态调用表名和字段名的解决方法
09-01
为了动态调用表名和字段名，我们需要使用`statementType="STATEMENT"`，这样可以避免预编译，允许我们在SQL字符串中使用`${}`进行替换。一个示例的Mybatis映射文件片段如下： ```xml SELECT ${columns} FROM ${...
java实现一个类似navicat查询的功能，通过前端页面输入的表名，字段名，where条件等信息，查询相应的表，给前端返回一个列表
最新发布
11-21
根据条件项构建where子句，每个条件项的字段名和操作符都是我们程序控制（操作符白名单：=,>,<,>=,,LIKE,IN等），值用预编译占位符 3. 构建SQL，执行 下面我们按照方式二实现。 条件项可以定义为一个类： ```...
【jdbc】在preparedStatement中用中文填充占位符报错提示乱码
winrh的博客
05-09 1045
我是用sql语句拼接解决的 比如： state = "\""+state+"\""; String sql = "update "+obj+" set state = "+state+" where id = "+id;
JDBC 笔记（二）Statement、PreparedStatement预编译与原生增删查改、通用增删查改
喜欢历史的码农
01-10 855
1、预编译：statement 与 PreparedStatement 1.1 sql提供访问的接口： 数据库连接被用于向数据库服务器发送命令和 SQL 语句，在连接建立后，需要对数据库进行访问，执行 sql 语句 在 java.sql 包中有 3 个接口分别定义了对数据库的调用的不同方式： |----- Statement |------Prepa...
PreparedStatement不能用来设置表名、字段名
曹利荣的博客
01-25 1302
今天动手写课程设计，JDBC某处用到PreparedStatement，最初想将表名、字段名、字段值都作为参数用?代替，可是实践之后发现行不通。 最初想这样写： preparedStatement = connection.prepareStatement("select * from ? where ?=?"); preparedStatement.setString(1, tableNa...
PreparedStatement不能动态设置表名和列名
hello
07-24 4926
static String url = "jdbc:mysql://localhost:3306/test?characterEncoding=utf8&amp;useSSL=true"; static String user = "root"; static String password = "root"; public static void main(String[] str) t...
关于SQL语句prepareStatement预编译"?"占位符问题
weixin_41342104的博客
11-03 2847
关于SQL语句prepareStatement预编译"?"占位符问题Connection中的createStatement和 prepareStatement区别为什么会有占位符"?"(重点到了)请看下方结语 Connection中的createStatement和 prepareStatement区别 首先说下为什么常用的是PreparedStatement，因为Prepared...
3.0 PreparedStatement
GabrielCP的博客
05-01 345
当使用statement , 假设有登录案例SQL语句如下: SELECT * FROM 用户表 WHERE NAME = 用户输入的用户名 AND PASSWORD = 用户输的密码; 此时，当用户输入正确的账号与密码后，查询到了信息则让用户登录。 但是当用户输入的账号为XXX 密码为：XXX’ OR ‘a’=’a时，则真正执行的代码变为： SELECT * FROM 用户表 WHERE NA...
PreparedStatement 浅谈
qq_34956796的博客
10-28 399
用过Mybatis的都应该了解 #{] ${} 的区别：一般较为常见的回答是：#{}是预编译处理，${}是字符串替换。 所以涉及到了 myabties的底层使用PreparedStatement。但是按照官方说法预编译功能是需要手动开启的。这里以mysql为例：MySQL启用预编译的先决条件是useServerPstmts=true。MySQL是否默认开启和jdbc的版本有很大关系，关系如下： ...
SQL 注入问题的解决(PreparedStatement)
拒绝八股，追寻本质。
11-19 8688
上篇博客结尾提到了代码的不足：存在SQL注入问题。下面演示一下什么是SQL，注入问题。（就拿上篇的代码举个例子）以上为正常现象，但有些“不法分子”抓住了代码的漏洞，干了一些不为人知的事情。What！竟然登录成功了！发生了甚么？让我们Debug一下，一探究竟。‘1’='1’为true，从而导致了整个柿子返回结果为true。
预编译语句(Prepared Statements)介绍，以MySQL为例
weixin_41062002的博客
06-28 1649
1. 背景 本文重点讲述MySQL中的预编译语句并从MySQL的Connector/J源码出发讲述其在Java语言中相关使用。注意：文中的描述与结论基于MySQL 5.7.16以及Connect/J 5.1.42版本。 2. 预编译语句是什么 通常我们的一条sql在db接收到最终执行完毕返回可以分为下面三个过程： 词法和语义解析 优化sql语句，制定执行计划 执行并返回结果 我们把这种普通语句称作Immediate Statements。 但是很多情况，我们的一条sql语句可能会反复执行，或者
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值