Question

코드에 다음 구문이 있지만 JDBC에서 LIKE 연산자를 사용하려고 할 때 작동하지 않습니다. 그냥 같은 경우는,이 ​​방법으로 잘 작동 :

ResultSet resultSet = statement.executeQuery("SELECT * 
               FROM drawings 
               WHERE name = '"+ DT +"'"); 

하지만 와일드 카드, I는 "%"는 유효한 문자가 아닙니다 말하는 오류가 계속으로 검색 할 LIKE 연산자를 사용하려는 경우 . 어떻게 LIKE 연산자를 올바르게 사용할 수 있습니까? 코멘트에서

Answer 1

는 :

query=("SELECT * FROM drawings WHERE name LIKE '"%DT%"'"); 

이 컴파일되지 않습니다. DT 변수라고 가정하면, 그것은 오히려

query = "SELECT * FROM drawings WHERE name LIKE '%" + DT + "%'"; 

과 같아야합니다 (구문 강조에주의를 기울여야의 %은 SQL 문자열의 일부가 될 수있다!)

그러나 합치 사용자 SQL 쿼리 에서처럼 제어 된 문자열 변수를 사용하면 SQL injectionattacks의 문을 개로 열 수 있습니다. LearnPreparedStatement을 사용하는 대신 사용하는 방법.

String sql = "SELECT * FROM drawings WHERE name LIKE ?"; 
// ... 
preparedStatement = connection.prepareStatement(sql); 
preparedStatement.setString(1, "%" + DT + "%"); 
resultSet = preparedStatement.executeQuery(); 
// ...