PreparedStatement.setString() mà không có dấu ngoặc kép

Question

Tôi đang cố gắng sử dụng một PreparedStatement với mã tương tự như sau:

SELECT * FROM ? WHERE name = ? 

Rõ ràng, những gì xảy ra khi tôi sử dụng setString() để thiết lập các bảng và tên trường là này:

SELECT * FROM 'my_table' WHERE name = 'whatever' 

và truy vấn không hoạt động. Có cách nào để thiết lập các chuỗi mà không có dấu ngoặc kép vì vậy các dòng trông như thế này:

SELECT * FROM my_table WHERE name = 'whatever' 

hay nên tôi chỉ cung cấp cho nó lên và sử dụng Báo cáo thường xuyên thay vì (các đối số đến từ một phần khác của hệ thống, không ai trong số những người được nhập bởi người dùng)?

Answer 1

Không thể sử dụng tham số để tham số hóa bảng hoặc tham số hóa bất kỳ đối tượng cơ sở dữ liệu nào. Chúng được sử dụng chủ yếu cho tham số WHERE/HAVING.

Để thực hiện những gì bạn muốn, bạn sẽ cần tự mình thực hiện và tạo câu lệnh thông thường khi cần.

Khi bạn sử dụng câu lệnh đã chuẩn bị, đây là gợi ý cho cơ sở dữ liệu thực hiện xử lý trước trên bảng sao kê - ví dụ: phân tích chuỗi và có thể xác định kế hoạch thực hiện. Nếu các đối tượng được sử dụng trong truy vấn có thể thay đổi động, thì cơ sở dữ liệu không thể làm nhiều việc chuẩn bị trước.

Answer 2

Rất tiếc, bạn không thể tham số hóa tên bảng cho các câu lệnh đã chuẩn bị. Nếu muốn, bạn có thể xây dựng một String và thực hiện nó như là SQL động.

Answer 3

Tôi nghi ngờ rằng SQL của bạn thực sự linh hoạt theo cách đó. Bạn chỉ có một số lượng hữu hạn các bảng, vì vậy số lượng các chuỗi cuối cùng tĩnh để thể hiện SQL bạn cần là hữu hạn.

Tiếp tục sử dụng PreparedStatement và ràng buộc các biến của bạn. Nó hoàn toàn đáng giá, đặc biệt hữu ích khi tránh các vấn đề về SQL injection.

Answer 4

Sai lầm bạn đã làm là bạn không thể chuyển tên bảng làm thông số. Bạn chỉ nên chuyển các giá trị cho một câu lệnh SQL.

Ex: Nếu bạn wantto:

Select * from LoggedUsers where username='whatever' and privilege='whatever'; 

sau đó bạn đã xây dựng PreparedStatement như:

Select * from LoggedUsers where username=? and privilege=? 

setString(1, usernameObject); 
setString(2, privilegeObject); 

Mục đích của PreparedStatement là để giảm bớt khó khăn và khả năng đọc của mã kết nối cơ sở dữ liệu. khi nhà phát triển phải sử dụng quá nhiều giá trị cột với cá thể của Statement thì rất khó để đặt dấu chấm phẩy, dấu phẩy và dấu cộng (toán tử concat).

Tôi nghĩ bạn đang nhầm muốn tận dụng lợi thế của nó, mà không được thiết kế để ....