JSP中的MySQL语句错误

Question

我对sql语句有一个问题，我不知道如何处理它。以下是问题所在：

query = "INSERT INTO `mmr`(`userID`, `RunningProjects`, `MainOrders`) VALUES ("
                        + session.getAttribute("id")
                        + ",'"
                        + request.getParameter("RunningProjects")
                        + "','"
                        + request.getParameter("MainOrders")')";

这些值来自包含自由文本的post表单。问题是，每当用户输入像'这样的字符时，我都会得到一个错误，因为它告诉编译器值在这里(我想是这样)，现在查找下一个值。我不知道如何包含这些字符，并将它们发送到数据库，而不会出现错误。任何帮助都将不胜感激。谢谢。

Answer 1

字符'用于在MySQL中包围文字。如果任何数据包含这样的字符作为它的一部分，我们必须转义它。这可以使用Java中准备好的语句来完成。

相应地更改查询代码。

query = "INSERT INTO `mmr`(`userID`, `RunningProjects`, `MainOrders`) 
         VALUES ( ?, ?,? )";

现在定义一个PreparedStatement实例并使用它绑定值。

PreparedStatement pst = con.prepareStatement( query );
pst.setString( 1, session.getAttribute("id") );
pst.setString( 2, request.getParameter("RunningProjects") );
pst.setString( 3, request.getParameter("MainOrders") );

int result = pst.executeUpdate();

并且，我建议使用bean来处理业务逻辑。

Answer 2

变化

query = "INSERT INTO `mmr`(`userID`, `RunningProjects`, `MainOrders`) VALUES ("
                        + session.getAttribute("id")
                        + ",'"
                        + request.getParameter("RunningProjects")
                        + "','"
                        + request.getParameter("MainOrders")
                        + "')";

Answer 3

我认为您在JDBC代码中使用了普通语句。相反，我建议您使用准备语句。准备语句通常用于消除此类问题和缓存问题。如果你用事先准备好的报表，我想你的问题会解决的。