黑马程序员技术交流社区

标题: 关于PreparedStatement类防SQL注入问题？ [打印本页]
作者: 黄茂霖    时间: 2013-4-24 21:43
标题: 关于PreparedStatement类防SQL注入问题？
本帖最后由 shenqi 于 2013-4-24 21:44 编辑

  2. package com.itcast.itheima;

  4. import java.sql.Connection;
  5. import java.sql.DriverManager;
  6. import java.sql.PreparedStatement;
  7. import java.sql.ResultSet;

  9. public class PreparedStatmentTest {

  11.         /**
  12.          * @param args
  13.          */
  14.         public static void main(String[] args) {
  15.                 // TODO Auto-generated method stub
  16.                
  17.                 Connection ct = null;
  18.                 ResultSet rs =null;
  19.                 PreparedStatement ps = null;
  20.                
  21.                 try {
  22.                         Class.forName("com.microsoft.jdbc.sqlserver.SQLServerDriver");
  23.                         
  24.                         ct = DriverManager.getConnection
  25.                                 ("jdbc:microsoft:sqlserver://127.0.0.1:1433;database=db_webApps", "sa", "999999");
  26.                         
  27.                         
  28.                         //ps = ct.prepareStatement("select pass from tb_user where name = ?");
  29.                         
  30.                         ps = ct.prepareStatement("select top ? * from tb_user where id not in(select top ?s id from tb_user)");
  31.                         
  32.                         //select pass from tb_user where name = ? or 1 = 1
  33.                         ps.setString(1, "6");
  34.                         ps.setString(2, "3");
  35.                         
  36.                         
  37.                         rs = ps.executeQuery();
  38.                         
  39.                         while(rs.next()){
  40.                                 
  41.                         /*        if("999999".equals(rs.getString(1))){
  42.                                        
  43.                                         System.out.println("存在该账号");
  44.                                 }*/
  45.                                 System.out.println(rs.getString(1));
  46.                         }
  47.                         
  48.                 } catch (Exception e) {
  49.                         // TODO Auto-generated catch block
  50.                         e.printStackTrace();
  51.                 }finally{
  52.                         try {
  53.                                 if(rs != null){
  54.                                         rs.close();
  55.                                 }
  56.                                 if(ps != null){
  57.                                         ps.close();
  58.                                 }
  59.                                 if(ct != null){
  60.                                         ct.close();
  61.                                 }
  62.                         } catch (Exception e2) {
  63.                                 // TODO: handle exception
  64.                                 e2.printStackTrace();
  65.                         }
  66.                         
  67.                 }
  68.                
  69.         }

  71. }
复制代码
这是一个分页程序，为什么这样运行确报告SQL错误？

  2. java.sql.SQLException: [Microsoft][SQLServer 2000 Driver for JDBC][SQLServer]第 1 行: '@P1' 附近有语法错误。
  3.         at com.microsoft.jdbc.base.BaseExceptions.createException(Unknown Source)
  4.         at com.microsoft.jdbc.base.BaseExceptions.getException(Unknown Source)
  5.         at com.microsoft.jdbc.sqlserver.tds.TDSRequest.processErrorToken(Unknown Source)
  6.         at com.microsoft.jdbc.sqlserver.tds.TDSRequest.processReplyToken(Unknown Source)
  7.         at com.microsoft.jdbc.sqlserver.tds.TDSRPCRequest.processReplyToken(Unknown Source)
  8.         at com.microsoft.jdbc.sqlserver.tds.TDSRequest.processReply(Unknown Source)
  9.         at com.microsoft.jdbc.sqlserver.SQLServerImplStatement.getNextResultType(Unknown Source)
  10.         at com.microsoft.jdbc.base.BaseStatement.commonTransitionToState(Unknown Source)
  11.         at com.microsoft.jdbc.base.BaseStatement.postImplExecute(Unknown Source)
  12.         at com.microsoft.jdbc.base.BasePreparedStatement.postImplExecute(Unknown Source)
  13.         at com.microsoft.jdbc.base.BaseStatement.commonExecute(Unknown Source)
  14.         at com.microsoft.jdbc.base.BaseStatement.executeQueryInternal(Unknown Source)
  15.         at com.microsoft.jdbc.base.BasePreparedStatement.executeQuery(Unknown Source)
  16.         at com.itcast.itheima.PreparedStatmentTest.main(PreparedStatmentTest.java:35)
复制代码
而我把SQL语句换成select pass from tb_user where name = ? 就没问题。这是怎么回事？这个问题纠结很久了！~






欢迎光临 黑马程序员技术交流社区 (http://bbs.itheima.com/) 黑马程序员IT技术论坛 X3.2