java mysql 字符串 转义读取_Java-转义字符串以防止sql注入

PreparedStatement是可行的，因为它们使SQL注入成为不可能。下面是一个简单的示例，将用户的输入作为参数：public insertUser(String name, String email) {

Connection conn = null;

PreparedStatement stmt = null;

try {

conn = setupTheDatabaseConnectionSomehow();

stmt = conn.prepareStatement("INSERT INTO person (name, email) values (?, ?)");

stmt.setString(1, name);

stmt.setString(2, email);

stmt.executeUpdate();

}

finally {

try {

if (stmt != null) { stmt.close(); }

}

catch (Exception e) {

// log this error

}

try {

if (conn != null) { conn.close(); }

}

catch (Exception e) {

// log this error

}

}}

无论名称和电子邮件中有哪些字符，这些字符都将直接放在数据库中。它们不会以任何方式影响INSERT语句。

对于不同的数据类型，有不同的集合方法-使用哪种方法取决于数据库字段是什么。例如，如果数据库中有整数列，则应使用setInt方法。筹备情况文件列出所有可用于设置和获取数据的不同方法。