我有一个问题:
如果用户没有为其输入任何内容,如何“忽略”它们?
感谢大家!
编辑:如果有人知道如何将setString()设置为PreparedStatement,而不让他在字符串周围放置' ',那么也很好。
SELECT * FROM table_name WHERE name=? surname=? gender=?;
我需要将字符串注入到查询中(我使用预处理语句),但问题是这3个子句都是可变的。根据用户输入,它们可能都不活动,也可能只有1或2个活动。如果用户没有为其输入任何内容,如何“忽略”它们?
感谢大家!
编辑:如果有人知道如何将setString()设置为PreparedStatement,而不让他在字符串周围放置' ',那么也很好。
setString()
而不需要在值周围加引号,那么它将无法防止注入攻击。任何人都可以使用像true; drop table table_name; --
这样的值。 - RealSkeptic