使用准备好的语句的变量列名

这表示数据库设计不好。用户不需要知道列名。创建一个包含这些“列名”的真实数据库列,并将数据存储在该列中。

无论如何,不能将列名设置为 PreparedStatement 价值观。只能设置列 价值观 作为 准备声明 价值观

如果您想继续这个方向,您需要清理列名并自己连接/构建SQL字符串。引用单独的列名并使用 String#replace() 在列名中转义相同的引号。

准备允许列名的白名单。使用“查询”在白名单中查找列名称是否存在。如果没有,则拒绝查询。

I think this case can't work because the whole point of the prepared statement is to prevent the user from putting in unescaped query bits - so you're always going to have the text quoted or escaped.

如果要安全地影响查询结构,则需要在Java中对该输入进行消毒。

public void MethodName(String strFieldName1, String strFieldName2, String strTableName)
{
//Code to connect with database
String strSQLQuery=String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName);
st=conn.createStatement();
rs=st.executeQuery(strSQLQuery);
//rest code
}

Use sql injection disadvantage of Statement Interface as advantage. 前任:

st=conn.createStatement();
String columnName="name";
rs=st.executeQuery("select "+ columnName+" from ad_org ");

下面是Java中的解决方案。

String strSelectString = String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName);