Question

关于预编译SQL语句 帮忙看一下对不对啊

String sql = "update T_M_ZAIKOU set OUT_DATE = to_date('?','yyyy-mm-dd hh24:mi:ss'),"
+ "TENKI_CD = ?,SHARYOU_CD = ?,OUT_METER = ?,"
+ "IN_DATE = to_date('?','yyyy-mm-dd hh24:mi:ss'),IN_METER = ? where SYSTEM_ID = ?";
pst = conn.prepareStatement(sql);
pst.setString(1, updateStockBean.getOut_date()+" "+updateStockBean.getOut_time());
pst.setString(2, updateStockBean.getTenki_cd());
pst.setString(3, updateStockBean.getSharyou_cd());
pst.setString(4, updateStockBean.getOut_neter());
pst.setString(5, updateStockBean.getIn_date()+" "+updateStockBean.getIn_time());
pst.setString(6, updateStockBean.getIn_neter());
pst.setLong(7, updateStockBean.getSystem_id());

int row = pst.executeUpdate();

Answer 1

sql注入怎么回事:说白了就是在一个单引号上做文章，你把单引号转义就没啥问题了，预编译就是把这些字符转义后插入，其中包括单引号。

这段可以防止.

追问

就是说不能把问号放在单引号内吗,怎么改才好?