多表关联插入异常：基于Book表外键插入Art表的代码修正咨询

嘿，你的这段关联插入代码有几个关键问题导致它没法正常运行，咱们一步步拆解并修正：

先说说你的代码里的核心问题 #

1. 完全错误的SQL语法拼接
   你把Java方法调用database.connect(1,"select...")直接塞进了INSERT语句的字符串里，数据库根本无法识别这种Java代码——它只能理解纯SQL语法，这直接导致SQL语句无效，数据库一执行就报错。

2. 搞反了执行方法的用途
   根据你的描述，参数1对应executeUpdate()（用于增删改这类更新操作），参数0对应executeQuery()（用于查询操作）。但你执行INSERT语句时用了connect(0, ...)，这相当于用查询方法去执行插入操作，完全不符合逻辑，肯定跑不起来。

3. 严重的SQL注入风险
   直接用字符串拼接name、Agegroup这些参数到SQL里，比如如果有人输入的name是' or '1'='1，你的查询语句会变成select bookno from book where name='' or '1'='1'，会返回所有书籍的bookno，这就是典型的SQL注入漏洞，可能导致数据泄露或被篡改。

4. 逻辑实现思路错误
   你想通过查询获取bookno再插入的思路是对的，但应该先执行查询拿到结果，再把结果代入插入语句，而不是把Java查询方法嵌到INSERT的SQL字符串里。

正确的实现方式 #

我们分两步完成操作，同时改用参数化查询来避免注入问题，并且修正执行方法的使用：

步骤1：先查询获取对应的bookno #

先执行参数化的查询语句拿到目标bookno：

// 准备参数化的查询SQL（用?占位符代替直接拼接参数）
String querySql = "select bookno from book where name = ?";
// 执行查询（根据你的规则，参数0对应executeQuery，所以用connect(0, ...)）
ResultSet rs = database.connect(0, querySql); 
// 这里假设你的connect(0)方法能正确处理参数化查询，如果不能，需要优化你的database类，直接用JDBC的PreparedStatement

int bookno = -1;
if (rs.next()) {
    // 根据bookno的实际数据类型调整，比如如果是字符串就用getString
    bookno = rs.getInt("bookno"); 
}
// 记得关闭结果集，避免资源泄漏
rs.close();

// 处理未找到对应书籍的情况
if (bookno == -1) {
    throw new RuntimeException("未找到名称为「" + name + "」的书籍");
}

步骤2：用获取到的bookno执行插入操作 #

同样使用参数化的INSERT语句，确保安全且语法正确：

// 准备参数化的插入SQL，明确指定列名更清晰
String insertSql = "insert into art (bookno, agegroup, fp) values (?, ?, ?)";
// 执行插入操作（根据你的规则，参数1对应executeUpdate，所以用connect(1, ...)）
// 最优方案是让你的database类支持传递参数，避免字符串拼接，比如：
// database.executeUpdate(insertSql, bookno, Agegroup, fp);

// 如果你的connect方法暂时不支持参数，那至少要正确拼接（但还是建议尽快改成参数化）
// String insertSql = "insert into art values(" + bookno + ",'" + Agegroup + "','" + fp + "')";
// database.connect(1, insertSql);

// 更稳妥的方式是直接基于你的database类的conn对象使用PreparedStatement：
PreparedStatement pstmt = database.conn.prepareStatement(insertSql);
pstmt.setInt(1, bookno);
pstmt.setString(2, Agegroup);
pstmt.setString(3, fp);
// 执行插入，返回受影响的行数
int affectedRows = pstmt.executeUpdate();
// 关闭资源
pstmt.close();

对你的database类的优化建议 #

你的database.connect方法用参数区分执行方式的设计很容易混淆，建议拆分方法名，比如：

• executeQuery(String sql, Object... params)：专门用于查询，返回ResultSet
• executeUpdate(String sql, Object... params)：专门用于增删改，返回受影响行数
  这样代码可读性更高，也不容易搞混调用逻辑。另外，一定要记得关闭数据库资源（ResultSet、Statement、Connection），最好用Java的try-with-resources语法自动关闭，避免资源泄漏。

内容的提问来源于stack exchange，提问作者udara prabath