如何仅从 SQL 数据库中获取 1 个元素？

Question

我有一个小问题。我写了一个方法，其中我有一个 SQL 查询，应该在 2 个参数之后输出一个正确的字符串。但是，在调试时，结果不是正确的元素。我不知道为什么会这样。

public static String findRightTemplate(String user_name, int template_id)
  throws Exception {


        Connection conn = DriverManager.getConnection(
                "xxx", "xxx", "xxx");
        Statement st = conn.createStatement();

        st = conn.createStatement();
        ResultSet rs = st.executeQuery(
          "SELECT template FROM templates " +
          "where template_id=template_id AND user_name=user_name"
          );

        String temp="";
        while(rs.next())
        {
            temp=rs.getString("template");
        }


        rs.close();
        st.close();
        conn.close();

我要求提供用户名和模板 ID，我只想从模板列中获取一个元素。 SQL 查询是正确的。我已经测试过了。但似乎查询贯穿所有具有相同用户名的元素。结果，我只得到最后一个元素，而不是正确的。

更新

Answer 1

目前您不使用查询中的方法参数。正如已经建议的那样，您应该使用PreparedStatement 来解决这个问题。你基本上应该做到以下几点：

public static String findRightTemplate(String userName, int templateId) throws SQLException {
    try (final Connection connection = DriverManager.getConnection("...")) {
        final PreparedStatement preparedStatement = connection.prepareStatement(
                "SELECT template " +
                "FROM templates " +
                "WHERE user_name = ? " +
                "AND template_id = ? " +
                "LIMIT 1"
        );

        preparedStatement.setString(1, userName);
        preparedStatement.setInt(2, templateId);

        final ResultSet resultSet = preparedStatement.executeQuery();

        if (resultSet.next()) {
            return resultSet.getString(1);
        }
    }

    return null;
}

如果您不使用 PreparedStatement 并按照 cmets 中的建议手动构建查询，您的应用程序可能容易受到 SQL 注入攻击。