java - 一重引用符を使用したSQL更新クエリ

Question

データベースを取得および更新するために、JavaでHibernateアプリケーションを使用しています。

テーブルの更新中に、次のようにSQLクエリを作成します。

String qry = "UPDATE " + entity  + " SET " + htmlColumn + " ='"+value+"' WHERE " + id + " = " + primaryId;

ここで、valueは、場合によっては一重引用符を含むhtml文字列です。

一重引用符を無視/エスケープしてテーブルを正常に更新する方法

ありがとう

Answer 1

これに使用PreparedStatementする

String qry = "UPDATE " + entity  + 
             " SET " + htmlColumn + " = ? " +
             "WHERE " + id + " = ?";

PreparedStatement pstmt = con.prepareStatement(qry);
pstmt.setString(1, value);
pstmt.setInt(2, primaryId);
pstmt.executeUpdate();

• プリペアドステートメント

Answer 2

値を直接設定しないでください。

currentSession()
    .createQuery("UPDATE " + entity  + " SET " + htmlColumn +
              " = :value WHERE " + id + " :id")
    .setParameter("value", value).setParameter(":id",id).executeUpdate();

Answer 3

一重引用符を二重一重引用符に置き換えることができます。value.replace("'","''");ただし、適切に対応されていない場合、SQLインジェクションを簡単に考慮できるため、それ以上の対応が必要になります。

Answer 4

次のようにpreparedstatementを使用できます。

String query= "UPDATE " + entity  + " SET " + htmlColumn + " =? WHERE " + id + " = " + primaryId;

PreparedStatement ptmt = con.prepareStatement(query);
ptmt.setString(1, value);