Comment donner une entrée dans la clause where lorsque nous l'utilisons dans des pages Web?

Question

Selon l'entrée de l'utilisateur, je veux sélectionner l'enregistrement de la base de données. Ceci est mon code:

 
<% 
String jempid=request.getParameter("empid"); 
out.println(jempid); 
int intempid=1223; 
Connection conn=null; 
String url="jdbc:mysql://localhost/employees"; 
Class.forName("com.mysql.jdbc.Driver").newInstance(); 
conn=DriverManager.getConnection(url,"root",""); 
Statement st=conn.createStatement(); 
ResultSet rs=st.executeQuery("select * from empdetails where empnum=jempid"); 
%> 

Il jette l'erreur suivante

javax.servlet.ServletException: java.sql.SQLException: Unknown column 'jempid' dans « où la clause

Answer 1

qui ressemble comme trop de code dans une page jsp .... que dit:

... empnum='"+jempid+"');" ...... 

Et lorsque vous avez terminé assurez-vous de clos e db trop

Answer 2

Essayez ceci:

ResultSet rs=st.executeQuery(
    "select * from empdetails where empnum=" + jempid); 

Vous devez mettre la valeur de jempid dans la chaîne, pas le texte "jempid".

Answer 3

Voici votre instruction select:

select * from empdetails where empnum=jempid 

jempid est hardcoded au lieu d'être utilisé comme une variable. Cela ne fonctionnera jamais, sauf si vous le modifiez à la valeur de la variable entrée par le client.

alter:

"select * from empdetails where empnum=" + CleanseUserInput(jempid) 

et vous êtes bon pour aller.

Answer 4

ResultSet 
    rs=st.executeQuery("select * from empdetails where empnum=" + jempid + ";") 

Answer 5

"select * from empdetails where empnum="+jempid 

Mais vous voulez vraiment protéger cette contre les injections SQL!

Answer 6

C'est une mauvaise idée de construire SQL en utilisant la concaténation de chaînes - vous vous ouvrez à une attaque par injection SQL - EN PARTICULIER considérant que vous obtenez la valeur de "empid" directement à partir de la requête. Yikes!

Une meilleure approche est d'utiliser une requête paramétrée, comme ci-dessous:

PreparedStatement st=conn.prepareStatement("select * from empdetails where empnum=?"); 
st.setString(1, jempid); 
ResultSet rs=st.executeQuery(); 

Aussi, vous devez vérifier que jempid est non nul.

Answer 7

Contrairement à d'autres réponses, pourquoi ne pas utiliser un PreparedStatement?

Fondamentalement, vous aurez à code comme ceci:

PreparedStatement st=conn.prepareStatement("select * from empdetails where empnum=?"); 
st.setString(1, jempId); 
ResultSet rs=st.executeQuery(); 

La raison pour laquelle vous devez utiliser PreparedStatements est à cause de problèmes SQL Injection. Par exemple, en utilisant le code que vous avez posté dans la question, un pirate peut toujours taper "1; delete * from empdetails" dans la zone de texte à partir de laquelle vous sélectionnez jempid.

Ainsi, la requête finale formée serait

select * from empdetails where empnum=1;delete * from empdetails 

qui entraînerait toutes les données empdetails obtenir supprimé.

Alors utilisez toujours PreparedStatements !!

Answer 8

where doit avoir l'entrée dans " ". Comme ceci:

"select * from empdetails where empnum = "jempid"; 

Par conséquent cela devrait fonctionner:

ResultSet rs = st.executeQuery("select * from empdetails where empnum=" +"'"+ jempid+"'"); 

Answer 9

oui parfois, il renvoie une erreur de la colonne unkown dire par exemple, nous avons des vélos de table

permet donc dire que nous avons une requête comme sélectionnez * parmi les vélos où bikename = hayabusa;

si vous appuyez sur cette requête qu'elle pourrait lancer une erreur comme colonne inconnue de sorte que la meilleure chose que vous devez prendre soin est indiquez votre valeur ehich vous donnez à où clause de sorte que la façon correcte se passe comme select * des motos où bikename = 'hayabusa';