preparestatement是怎么防止sql注入的 preparedstatement怎么防止sql注入

文章摘要：preparestatement是怎么防止sql注入的 preparedstatement怎么防止sql注入

preparestatement防止sql注入的方法： 当使用PreprareStatement时，即使参数里 […]

preparestatement防止sql注入的方法：

当使用PreprareStatement时，即使参数里有敏感字符如or '1=1'，数据库也会作为一个参数一个字段的属性值来处理，而不会作为一个SQL指令来执行，用法示例：

String sql="update cz_zj_directpayment dp"+

"set dp.projectid = ? where dp.payid= ?";

try {

PreparedStatement pset_f = conn.prepareStatement(sql);

pset_f.setString(1,inds[j]);

pset_f.setString(2,id);

pset_f.executeUpdate(sql_update);

}catch(Exception e){

//e.printStackTrace();

logger.error(e.message());

}