Question

java 中 类 String 中的format() (里面带两个参数的方法)谁能帮我详细解释一下她的用法

例如： sql = String.format("SELECT * from USER_UPDATE_LOG where 1=1%s", Condition);
String Condition = " and USER_STATES=1";
Condition += " and CUSTOMER_ID like '%"+CUSTOMER_ID+"%'";
什么是sql注入啊 如果出现sql出入 会出现什么问题

Answer 1

String.format("SELECT * from USER_UPDATE_LOG where 1=1%s", Condition);
就说说要用condition去替换%s

SELECT * from USER_UPDATE_LOG where 1=1 and and USER_STATES=1 and CUSTOMER_ID like '%"+CUSTOMER_ID+"%'";

你这种where 1=1得写法，看似巧妙，实际很容易受到SQL注入的，不安全。。。

遇事多查API
public static String format(String format,
Object... args)使用指定的格式字符串和参数返回一个格式化字符串。