एसक्यूएल डालने के लिए सिंगल कोट्स से कैसे बचें ... जब स्ट्रिंग डालने के लिए स्ट्रिंग उपयोगकर्ता द्वारा उत्पन्न चर

Question

में है, तो मैं jdbc का उपयोग करके निष्पादित करने के लिए एक सम्मिलित आदेश बना रहा हूं। इसका एक हिस्सा एक उपयोगकर्ता उत्पन्न स्ट्रिंग को श्रेणीबद्ध करने के लिए है ... उपयोगकर्ता जब तक यह सब काम करता है इस तरह एक स्ट्रिंग का उपयोग करता है:

a'bcd

String userString="a'bcd"; 
String insertTableSQL = "INSERT INTO myTable " 
          + "(insertColumn) " 
          + "VALUES(" 
           +"'"+userString+"'" 
           +")"; 

statement.executeUpdate(insertTableSQL); 

Answer 1

आप नीचे दिए गए दोनों में से किसी कर सकते हैं:

1. तैयार स्टेटमेंट का उपयोग करें। (अनुशंसित)

   String userString="a'bcd"; 
   String myStatement = " INSERT INTO MYTABLE (INSERTCOLUMN) VALUES (?)"; 
   PreparedStatement statement= con.prepareStatement (myStatement); 
   statement.setString(1,userString); 
   statement.executeUpdate(); 
   

2. भागने

   एकल उद्धरण।

   एसक्यूएल में, सिंगल कोट्स डबल सिंगल कोट्स का उपयोग करके बच निकलेगा। ' ->''

   String userString="a'bcd"; 
   String changedUserString = userString.replace("'","''"); 
        //changedUserString = a''bcd 
   String insertTableSQL = "INSERT INTO myTable (insertColumn) VALUES(" 
            +" '"+changedUserString +"')"; 
   

Answer 2

आप जावा StringEscapeUtils द्वारा प्रदान StringEscapeUtils इस का उपयोग का उपयोग कर सकते हैं कि आप अपने उद्देश्य के लिए HTML, XML, विधि escapeXXX के लिए mysql etc.look से पात्रों बच सकते हैं। संदर्भ के लिए - When i need to escape Html string? उदाहरण के लिए:

String str = FileUtils.readFileToString(new File("input.txt")); 
     String results = StringEscapeUtils.escapeHtml(str); 
     System.out.println(results); 

इनपुट:

<sometext> 
Here is some "Text" that I'd like to be "escaped" for HTML 
& here is some Swedish: Tack. Vars?god. 
</sometext> 

उत्पादन:

एक देशी Android विधि का प्रयोग करें बिल्कुल के लिए बनाया गया:

<sometext> 
Here is some "Text" that I'd like to be "escaped" for HTML 
& here is some Swedish: Tack. Varsågod. 
</sometext> 

Answer 3

यहाँ एक और विकल्प नहीं है यह पु rpose:

DatabaseUtils.sqlEscapeString(String) 

यहाँ यह के लिए दस्तावेज़ ऑनलाइन है:

• sqlEscapeString() on Android Developers

इस पद्धति का उपयोग का मुख्य लाभ यह, मेरी राय में, की वजह से आत्म प्रलेखन है स्पष्ट विधि का नाम।

---

String userString="a'bcd"; 
String insertTableSQL = "INSERT INTO myTable " 
          + "(insertColumn) " 
          + "VALUES(" 
           +"'"+DatabaseUtils.sqlEscapeString(userString)+"'" 
           +")"; 

statement.executeUpdate(insertTableSQL);