Come utilizzare l'operatore simile a MySQL in JDBC?

Question

Ho la seguente sintassi nel mio codice, ma non funziona quando sto cercando di utilizzare l'operatore LIKE in JDBC. Funziona bene in questo modo, quando è proprio uguale:

ResultSet resultSet = statement.executeQuery("SELECT * 
               FROM drawings 
               WHERE name = '"+ DT +"'"); 

Ma se voglio utilizzare l'operatore LIKE per la ricerca come un jolly, continuo a ricevere l'errore dicendo che "%" non è un carattere valido . Come posso usare correttamente l'operatore LIKE?

Answer 1

Dai commenti:

query=("SELECT * FROM drawings WHERE name LIKE '"%DT%"'"); 

Questo non viene compilato. Supponendo che DT è una variabile, allora dovrebbe piuttosto assomigliare

query = "SELECT * FROM drawings WHERE name LIKE '%" + DT + "%'"; 

(prestare attenzione alla evidenziazione della sintassi, il % deve essere parte della stringa SQL!)

Tuttavia, concatenando utente - variabili di stringa controllate come quella in una query SQL mette le porte aperte SQL injectionattacks. Learn come utilizzare PreparedStatement e utilizzarlo.

String sql = "SELECT * FROM drawings WHERE name LIKE ?"; 
// ... 
preparedStatement = connection.prepareStatement(sql); 
preparedStatement.setString(1, "%" + DT + "%"); 
resultSet = preparedStatement.executeQuery(); 
// ...