PreparedStatement.setString() -Methode ohne Anführungszeichen

Question

Ich versuche, ein PreparedStatement mit Code ähnlich wie diese verwenden:

SELECT * FROM ? WHERE name = ? 

Offensichtlich was passiert, wenn ich setString() verwenden, die Tabelle und Namensfeld gesetzt ist dies:

SELECT * FROM 'my_table' WHERE name = 'whatever' 

und die Abfrage funktioniert nicht. Gibt es eine Möglichkeit, den String ohne Anführungszeichen zu setzen, so dass die Zeile wie folgt aussieht:

SELECT * FROM my_table WHERE name = 'whatever' 

oder soll ich es einfach aufgeben und die regelmäßige Erklärung anstelle (die Argumente aus einem anderen Teil des Systems kommen, weder von diese werden von einem Benutzer eingegeben)?

Answer 1

Parameter können nicht zur Parametrisierung der Tabelle oder zur Parametrisierung von Datenbankobjekten verwendet werden. Sie werden hauptsächlich zur Parametrisierung von WHERE/HAVING-Klauseln verwendet.

Um zu tun, was Sie wollen, müssen Sie die Substitution selbst durchführen und eine reguläre Anweisung nach Bedarf erstellen.

Wenn Sie eine vorbereitete Anweisung verwenden, ist dies ein Hinweis für die Datenbank, die eine Front-up-Verarbeitung der Anweisung durchführt - z. Parsen Sie die Zeichenfolge und bestimmen Sie möglicherweise einen Ausführungsplan. Wenn sich die Objekte, die in der Abfrage verwendet werden, dynamisch ändern können, konnte die Datenbank nicht viel Vorbereitung vorbereiten.

Answer 2

Leider können Sie Tabellennamen für vorbereitete Anweisungen nicht parametrisieren. Falls gewünscht, könnten Sie einen String konstruieren und als dynamisches SQL ausführen.

Answer 3

Ich bezweifle, dass Ihr SQL auf diese Weise wirklich unendlich flexibel ist. Sie haben nur eine endliche Anzahl von Tabellen, also ist die Anzahl der statischen End-Strings, um das benötigte SQL auszudrücken, auch endlich.

Verwenden Sie weiterhin PreparedStatement und binden Sie Ihre Variablen. Es ist es absolut wert, besonders hilfreich bei der Vermeidung von SQL-Injection-Problemen.

Answer 4

Der Fehler, den Sie gemacht haben, ist, dass Sie den Tabellenname nicht als Parameter übergeben können. Sie sollten die Werte nur an eine SQL-Anweisung übergeben.

Ex: Wenn Sie wantto:

Select * from LoggedUsers where username='whatever' and privilege='whatever'; 

dann haben Sie die PreparedStatement zu bauen:

Select * from LoggedUsers where username=? and privilege=? 

setString(1, usernameObject); 
setString(2, privilegeObject); 

Der Zweck PreparedStatement ist die Schwierigkeit und die Lesbarkeit zu reduzieren der Datenbankverbindungscode Wenn der Entwickler so viele Spaltenwerte mit der Statement-Instanz verwenden muss, ist es so schwierig, Semikolons, Kommas und Pluszeichen (concat operator) zu setzen.

Ich glaube, Sie versehentlich nutzen Sie es wollten, die entworfen, um nicht zu sein ....