Wie speichern Sie Anführungszeichen als Zeichenfolge in MySQL mit Java?

Question

Grundsätzlich habe ich String str="That's an apple and that's not an apple, hah. Not funny.". Zu Ihrer Information: Die Zeichenfolge könnte zufällig sein und könnte ein beliebiges Unicode-Zeichen enthalten. Ich muss \ vor allen ' & " hinzufügen, damit ich es in meiner MySQL-Datenbank als Zeilenwert speichern konnte. Und wenn du könntest, würdest du mir vorher sagen, welche anderen Zeichen ich hinzufügen muss \.

würde ich wirklich schätzen, wenn jemand mir sagen, wie \ vor allem ' & " hinzuzufügen.

---

auf Empfehlung Basierend gab Sie mir, dass ich zufällig kommen, dies zu tun:

public String UpdateDBQuery(String query, int hm) throws IOException{ 
    try { 
     DBConnect mysql_DB = new DBConnect(); 
     PreparedStatement ps = con.prepareStatement(query); 
     for(int i=0;i<hm;i++){ 
      ps.setString(i, query); 
     } 

     int ursa = ps.executeUpdate(query); 
     if (ursa == 0) { 
      throw new SQLException("Creating user failed, no rows affected."); 
     } else { 
      return "succeed"; 
     } 
    } catch (SQLException e) { 
     e.printStackTrace(); 
    } 
    return null; 
} 

Und die Anfragen, die dann nenne ich:

mysql.UpdateDBQuery("UPDATE tb1 SET ste='"+str1+"' WHERE pd='"+pd+"'", 1); 

Und

mysql.UpdateDBQuery("INSERT INTO list(str, str1, str2, str3, str4, str5) VALUES ('"+str+"', '"+str1+"', '"+str2+"', '"+str3+"', '"+str4+"','stackdefaultimage.png')", 6); 

Aber ich bekomme ein excepti auf dem Sprichwort:

java.sql.SQLException: Parameterindex außerhalb des Bereichs (0 < 1).

Answer 1

muss ich \ hinzufügen, bevor alle ' & " so konnte ich es db als Spaltenwert in meiner mysql speichern.

Nein, das müssen Sie nicht tun. Stattdessen müssen Sie parametrisierte Anweisungen verwenden (PreparedStatement und so). Wenn Sie nur ' und " umgehen, bleibt Ihr Code sowohl für SQL Injection als auch für nicht-schädliche Fehler offen.

Statt:

PreparedStatement ps = connection.prepareStatement("INSERT INTO Table (Column) VALUES (?)"); 
ps.setString(1, yourString); 
ps.executeUpdate(); 

... oder ähnliches. Beachten Sie die Verwendung von ? als Platzhalter, und beachten Sie, dass beim Festlegen von Werten für Platzhalter bei 1 (statt 0 wie Sie erwarten) beginnen.

Mehr hier: http://bobby-tables.com/

---

Wenn Sie benötigt alle ' mit \' und alle " mit \" für einige anderen Grund (nicht zu prepping eine Zeichenfolge für SQL verwandt) zu ersetzen, könnten Sie tue das mit replaceAll:

str = str.replaceAll("([\"'])", "\\\\$1"); 

b ut tue dies nicht, um Werte für SQL vorzuverarbeiten. Die () in der Ersatzregex erstellen eine Erfassungsgruppe und die $1 verwendet den Wert dieser Gruppe in der Ersetzung.Um den umgekehrten Schrägstrich in die Ersetzung einzufügen, müssen wir ihn doppelt entschlüsseln, da wir ihn für das Zeichenfolgenliteral und in der Ersetzungszeichenfolge ausschließen müssen (andernfalls wird die $ entfernt und die Gruppensubstitution wird verhindert).

Nochmal: Do not tun, um Werte für SQL-Anweisungen vorzubereiten. Verwenden Sie PreparedStatement und ähnliches.