MySQL注入MariaDB服务器版本错误

Question

我在尝试为登录系统构建查询时遇到语法错误。它工作过一次，但是当我重新启动我的 XAMPP 服务器时，它开始显示错误。不知道怎么回事

try{

                Class.forName("com.mysql.cj.jdbc.Driver");
                Connection con = DriverManager.getConnection("jdbc:mysql://localhost/login", "root", "");

                String user = textField1.getText();
                String pass = String.valueOf(passwordField1.getPassword());
                try{
                String sql = "select * from tbl_login where `name` =?, `password` =?";
                PreparedStatement st = con.prepareStatement(sql);
                st.setString(1, user);
                st.setString(2,pass);

                ResultSet rs = st.executeQuery(sql);

                if(rs.next()){
                    welcom w = new welcom();

                }
                else {
                    JOptionPane.showMessageDialog(null, "Please check you username and password again");
                    textField1.setText("");
                    passwordField1.setText("");
                }
                }
                catch (Exception h){
                    System.out.println(h.getMessage());
                }

            }
            catch (Exception ex){
                System.out.println(ex.getMessage());
            }

它显示此错误：

您的 SQL 语法有错误；查看与您的 MariaDB 服务器版本相对应的手册，了解在 '?, password =?' 附近使用的正确语法在第 1 行

Answer 1

当您使用准备好的语句时，请在创建语句时传递sql 字符串，而不是在执行时传递。

String sql = "select * from tbl_login where `name` =? and `password` =?";
PreparedStatement st = con.prepareStatement(sql);
st.setString(1, user);
st.setString(2,pass);

ResultSet rs = st.executeQuery( );
                               ^ do not pass the sql query here

当您使用st.executeQuery(sql) 时，它会直接执行该查询，但不会为参数占位符解析它。所以? 占位符无法识别。

您还应该在 where 子句中使用布尔运算符 AND，而不是逗号。

---

关于你的 cmets：

您的原始查询使用了以下语法：

...where `name` =?, `password` =?

我假设您的意思是这两个条件都必须为真。用 SQL 表达的方式如下：

...where `name` =? AND `password` =?

这称为布尔表达式。您应该在任何编程课程或书籍，甚至一些数学课程中了解这一点。

逗号与AND 运算符的含义不同。 SQL 在某些其他类型的表达式中使用逗号，但不作为 where 子句中条件之间的运算符。