Question

SQL语句中能否嵌套JAVA写的变量？

我用JSP写了一个网页，其中用request.getParameter("");获取文本框中的信息，我想将其存入数据库，所以用一个变量来存取获取的值，String abc=request.getParameter("");之后，我用SQL语句：
sql.execute("INSERT INTO user_write_information(user_number)VALUE(abc)");来存入,这样行吗？如果不行的话怎么办，请写出详细代码，谢谢！

Answer 1

不可以，应该这样..."INSERT INTO user_write_information(user_number)VALUE("+abc+")"; 不过这种方法早就被淘汰了，因为这是一种 bug,叫sql注入...正确的做法，是让sql先编译后赋值.... 可以这样写....String abc=request.getParameter("");String sql="insert into user_write_information values(?)";PreparedStatement ps=conn.prepareStatement(sql);ps.setString(1,abc);ps.executeUpdate();

Answer 2

可以这样写.. 例如: String abc=request.getParameter(""); sqlcomm comm = new sqlcomm(); comm.commtxt = "insert into 表 values()";这是正常的写法,values这个里面的值可以用字符串拼接的方式写..例如:comm.commtxt = "insert into 表 values(""+abc+"")";

Answer 3

String sqlString = "INSERT INTO user_write_information(user_number)VALUE("+abc+")";sql.execute(sqlString);