자바 SQL 쿼리 문자열에 인용

Question

내가 가지고 SQL 쿼리를 실행에 다음 코드 : 데이터 집합

query = String.format("select * from users where user_name = '%s';", results.getString(1)); 
results2 = mStmt.executeQuery(query); 

한 _ 이름 값 "오브라이언"을 가지고있다. .이 때문에 "오브라이언의 단일 괄호 내 쿼리 유적 쿼리가 될 것입니다 :

select * from users where user_name = 'O'brien' 

가 데이터를 수정이를 극복하지하기위한 전략이란

편집 : 준비된 문은 문제의 일부일 뿐이지 만 작은 따옴표 문제를 해결합니다. 내가 가진 문자열 값 중 하나가 "UNDER"라는 단어를 포함하고 있는데, 이는 SQL 키워드입니다. 예를 들어 쿼리에 insertAll이라는 preparedStatement가 있습니다.

insert into names (id, val1, val2, val3, val4, tTime, val5) values (?, ?, ?, ?, ?, ?, ?) 

모든 도움에 감사드립니다!

Answer 1

prepareStatement를 사용하여 매개 변수를 설정하십시오. 귀하의 코드는이 책의 SQL 주입 코드입니다. http://docs.oracle.com/javase/tutorial/jdbc/basics/prepared.html

Answer 2

대신 PreparedStatement을 사용하지 않으려면 SQL 쿼리에서 따옴표를 이스케이프 처리하는 지루하고 오류가 발생하지 않는 문제를 피하십시오?

은 다음과 같이 보일 것 수 (미안 해요, 난 사실이 실행되지 않은,하지만 당신은 아이디어 가야) :

query = "select * from users where user_name = ?"; 
PreparedStatement p = new PreparedStatement(con, query); 
p.setString(1, results.getString(1)); 
results2 = p.executeQuery();