如何从SQLite的highscore表安全获取指定行win字段值并更新

没问题，咱们一步步来实现，既要保证功能正常，又要彻底防范SQL注入：

要避免SQL注入，核心是永远不要直接把用户输入（比如玩家名字）拼接到SQL语句里，必须用参数化查询。下面是获取指定玩家当前胜利次数的安全方法：

public int getCurrentWin(String playerName) {
    SQLiteDatabase db = this.getReadableDatabase();
    int currentWin = 0; // 默认值，若玩家不存在返回0

    // 使用参数化查询，用?作为占位符替代玩家名字
    Cursor cursor = db.query(
        "highscore",          // 目标表名
        new String[]{"win"},  // 只查询win字段，提升效率
        "name = ?",           // 查询条件，?是参数占位符
        new String[]{playerName}, // 替换占位符的实际参数
        null, null, null
    );

    if (cursor.moveToFirst()) {
        // 安全获取win字段的整数值
        currentWin = cursor.getInt(cursor.getColumnIndexOrThrow("win"));
    }

    // 务必关闭游标和数据库，避免资源泄漏
    cursor.close();
    db.close();
    return currentWin;
}

为什么这能防SQL注入？ #

这里用?作为参数占位符，SQLite会自动对传入的playerName进行转义处理，不会把它当作SQL语句的一部分解析。就算玩家名字是恶意构造的（比如' OR 1=1 --），也只会被当作普通字符串匹配，不会破坏原有SQL的逻辑。

现在只需要调用上面的方法拿到当前win值，加1后传给你已有的updateWin方法即可：

// 示例：更新玩家"Alice"的胜利次数
String targetPlayer = "Alice";
int newWinCount = getCurrentWin(targetPlayer) + 1;
updateWin(targetPlayer, newWinCount);

额外提醒 #

• 如果你的updateWin方法内部还没做参数化处理，记得检查它的实现！比如应该用SQLite的update方法带参数，而不是拼接SQL字符串，这样整个流程才能彻底杜绝注入风险。
• 如果玩家不存在，getCurrentWin会返回0，这时候调用updateWin可能需要先判断是否要插入新玩家记录，具体看你的业务需求。

内容的提问来源于stack exchange，提问作者user7896362