嵌入式Derby数据库执行日期条件查询时出现SQL语法错误求助

嘿，我一眼就看出问题所在了——你直接把buildingId硬拼到SQL语句里的方式，不仅会引发语法错误，还存在安全隐患！

为什么会报错？ #

你当前的SQL语句是：

"SELECT ID, NAME, MOBILE_NUMBER FROM CLIENTS2 WHERE CONTRACT_DATE <= ? AND BUILDING_ID = "+buildingId

如果buildingId是字符串类型，拼接后SQL会变成BUILDING_ID = 某字符串，缺少字符串必须的单引号，Derby解析器会把这个字符串当成无效的标识符/关键字，直接触发语法错误；就算buildingId是数字类型，要是它的值为空或者包含特殊字符（比如空格），同样会破坏SQL的语法结构，导致解析失败。

而且这种直接拼接参数的写法，还会带来SQL注入的风险，这是非常危险的编码习惯哦。

怎么解决？ #

把BUILDING_ID的条件也改成用PreparedStatement的占位符?，通过参数绑定的方式传递值，这是Java操作数据库的标准安全写法：

第一步：修改SQL语句 #

把拼接的buildingId换成占位符?：

String query = "SELECT ID, NAME, MOBILE_NUMBER FROM CLIENTS2 WHERE CONTRACT_DATE <= ? AND BUILDING_ID = ?";

第二步：完善PreparedStatement的参数设置 #

根据buildingId的实际类型，用对应的setXxx方法设置第二个参数（索引从1开始）：

try {
    PreparedStatement pStmt = con.prepareStatement(query);
    pStmt.setDate(1, endSqlDate);
    // 这里根据buildingId的类型调整：如果是Integer就用setInt，字符串就用setString
    pStmt.setInt(2, buildingId); // 假设buildingId是整数类型，如果是字符串就换成pStmt.setString(2, buildingId);
    try (ResultSet rs = pStmt.executeQuery()) {
        while(rs.next()){
            FinancialInfoModule financialInfoObj = new FinancialInfoModule();
            financialInfoObj.setClientId(rs.getInt("ID"));
            financialInfoObj.setMobileNumber(rs.getInt("MOBILE_NUMBER"));
            financialInfoObj.setClientName(rs.getString("NAME"));
            getClientFinancialInfo(financialInfoObj, startSqlDate, endSqlDate);
            if(financialInfoObj.isMeetingTheNeed()){
                financialInfoList.add(financialInfoObj);
            }
        }
    }
} catch (SQLException ex) {
    Logger.getLogger(ReportsUtility.class.getName())
          .log(Level.SEVERE, null, ex);
}

额外小贴士 #

• 永远不要直接把动态值拼接到SQL字符串里，所有动态参数都要用PreparedStatement的占位符来传递；
• 一定要根据参数的实际类型选择对应的setXxx方法，比如日期用setDate、字符串用setString，这样能避免很多类型相关的语法问题。

内容的提问来源于stack exchange，提问作者Khalifa Gad