PreparedStatement like 的用法

最新推荐文章于 2025-06-30 18:15:59 发布
最新推荐文章于 2025-06-30 18:15:59 发布
阅读量493 收藏 1
点赞数 1
文章标签： SQL
本文介绍如何正确使用PreparedStatement防止SQL注入攻击，展示了错误的参数拼接方式可能导致的问题，并给出正确的做法。
 

   

String expr = "select * from table where url like ?";
pstmt = con.prepareStatement(expr);
String a="a";
pstmt.setString(1, "%"+a+"%");
pstmt.execute();

这样写 PreparedStatement  会默认生成sql语句： select * from table where url like '%http%' 

不要这样写

String expr = "select * from table where url like %?%";

 也不要这样写

pstmt = con.prepareStatement(expr);
String a="%a%";
pstmt.setString(1, a);
pstmt.execute();

 


   

ritcher
关注
PreparedStatement，分页查询
qq_45939736的博客
09-01 818
PreparedStatement，分页查询
Java学习教程，从入门到精通，JDBC LIKE 子句语法知识点及案例代码（108）
qq_45746668的博客
02-01 361
使用JDBC应用程序创建新数据库需要执行以下步骤- 导入包:要求您包含包含数据库编程所需的JDBC类的软件包。通常，使用 import java.sql.* 就足够了。 注册 JDBC 驱动程序: 要求您初始化驱动程序，以便您可以打开与数据库的通信通道。 建立连接:需要使用 DriverManager.getConnection() 方法来创建一个Connection对象，该对象表示与数据库服务器的物理连接。 执行查询:需要使用Statement类型的对象来构建和提交SQL语句，以从满足给定条件的表
PreparedStatement 使用like 模糊查询
Jason分享，共同进步
03-03 776
PreparedStatement 使用like 在使用PreparedStatement进行模糊查询的时候废了一番周折，以前一直都没有注意这个问题。一般情况下我们进行精确查询，sql语句类似：select * from table where name =?，然后调用 PreparedStatement的setString等方法给？指定值。那么模糊查询的时候应该怎么写呢？我首先尝试了：sele...
PreparedStatement中使用like
华格瑞沙的博客
12-14 542
String sql = "SELECT a.title,a.content FROM poetries a WHERE a.title LIKE ?"; PreparedStatement prep = conn.prepareStatement(sql); prep.setString(1, "%"+poetries.getTitle()+"%"); ResultSet result = pre
PreparedStatement详解
最新发布
empti_
06-30 1071
PreparedStatement 是 JDBC 中用于执行预编译 SQL 语句的接口，它继承自 Statement 接口，提供了更安全、更高效的 SQL 执行方式。
PreparedStatement中的like
......
12-21 674
PreparedStatement这个类估计都比较熟,我在网上看过一片文章http://cuisuqiang.iteye.com/blog/1480525 但是这里讨论的不是相同问题 我曾在一个sql查询中用到这样一条语句简化后的原理select * from table where  field like ? 这本是很简单的一个问题,但是如果是这样的  参数 "2013"也许你在sql s
PreparedStatement 使用like
Java海洋
07-15 2117
PreparedStatement 使用like 在使用PreparedStatement进行模糊查询的时候废了一番周折，以前一直都没有注意这个问题。一般情况下我们进行精确查询，sql语句类似：select * from table where name =?，然后调用 PreparedStatement的setString等方法给？指定值。那么模糊查询的时候应该怎么写呢？我首先尝试了：se
使用PreparedStatement 动态拼装like 条件。
王佳楠的专栏
04-13 1412
在使用java PreparedStatement 时，执行拼装的sql总是报错 1、错误的sql拼装: // 拼装修改记录查询条件 if(changeRecord != null && !"".equals(changeRecord)){ changeRecord = URLDecoder.decode(changeRecord, "utf-8"); whereSql.app
PreparedStatement 不定参数处理
xingyuncaojun的博客
04-25 1502
最近项目用到PreparedStatement，根据输入条件查询数据，输入条件不为空，则参与查询，为空，则不参与查询。网上搜了，也是按照网上的方法，也不算原创，记录一下。 参考文章：https://blog.csdn.net/dream_broken/article/details/44681597/ 代码如下： Connection conn = null; PreparedStatem...
JDBC 操作预编译语句中LIKE模糊匹配怎么用
Jason的学习笔记
04-14 1729
问题描述 在使用JDBC 预编译执行语句时，遇到一个问题，那就是在含有LIKE的查询语句时，我到底怎么使用匹配符%、_呢。 如： SELECT * FROM "+LQ_USERS+" WHERE "+USER_LOGIN+" LIKE ? 问题分析 我们先看看我们要实现的结果： SELECT * FROM lq_users WHERE user_login LIKE "%2%"; 既然这样，我...
Java JDBC技术：（六）SQL 注入与PreparedStatement 对象的使用-5000字匠心出品
地球村
05-15 599
SQL 注入与PreparedStatement 对象的使用1.什么是 SQL 注入2.SQL 注入案例3.PreparedStatement 对象的使用1.PreparedStatement 特点2.通过 PreparedStatement 对象向表中插入数据4.PreparedStatement 的预编译能力1.什么是预编译1.SQL 语句的执行步骤2.解析过程2.预编译方式1.依赖数据库驱动完成预编译2.依赖数据库服务器完成预编译5.通过 PreparedStatement 对象完成数据的更新6.通过
PreparedStatement使用like的方法
wangxu496677829的博客
01-28 467
sql = " and a.name like '%' || ? || '%'"; value.add(name); 或者 sql = " and a.name like ? "; value.add("%"+name+"%");
PreparedStatement 使用like 模糊查询
Alu_em的博客
09-16 429
sql语句不必修改，在填充占位符时将需要模糊查询的字段拼接 % 即可，如下代码 @Override public List<Book> selectByName(Connection conn, String name) { String sql = "select * from book where book_name like ?"; return getForList(conn, sql, "%" + name + "%"); } .
preparedStatement中的like模糊查询
zhuyx808的专栏
07-16 265
sqlStr = "select id,name from 表 where name like ?"; 这种方式对应的ps.setString(1, "%"+"abc"+"%"); 这种方式更为通用，不管对什么样的数据库 另外还有种方式sqlStr = "select id,name from 表 where name like '%'+?+'%'";这种方式对应的ps.setString...
mysql like preparedstatement_用java PreparedStatement就不用担心sql注入了吗
weixin_42486337的博客
02-17 169
展开全部对32313133353236313431303231363533e78988e69d8331333361313865java有了解的同学基本上都体验过JDBC，基本都了解PreparedStatement，PreparedStatement相比Statement基本解决了SQL注入问题，而且效率也有一定提升。关于PreparedStatement和Statement其他细节我们不讨论，只...
关于PreparedStatement中数据库like查询的小问题
02-01 318
数据库:MySQL IDE:eclipse 查询表建立方法如下： CREATE TABLE `student` (   `id` int(10) NOT NULL auto_increment,   `name` char(10) default NULL,   `sex` char(10) default NULL,   `age` int(10) default NULL,   `pass...
mysql prepare 模糊查询_java mysql prepareStatement模糊查询like使用注意
weixin_34644072的博客
01-19 294
今天在使用mysql 的like语句是，发现prepareStatement的like语句和一般的=写法有一样。当要使用prepareStatement的like查询时，按照一般写法，都会写成：String sql = "select * from tablename like '%?%'";String sqlParasValue = "2015-03-23";pStmt=conn.prepa...
JDBC PreparedStatement 字符串字段 模糊查询 注意事项
jackpk的专栏
03-31 7497
JDBC PreparedStatement 字符串字段 模糊查询 注意事项 针对字符串类型字段模糊查询的正确写法：String sql = "select count(*) from category c where 1 = 1   and c.category_name like ? ";   pstmts   =   conn.prepareStatement(sql);   p
java代码sql语句中like的用法
05-26
在Java中使用SQL语句中的LIKE功能，需要使用预编译的语句（PreparedStatement）来执行。下面是一个示例： ```java String searchTerm = "%apple%"; // 搜索的关键词 String sql = "SELECT * FROM products WHERE ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值