PHP Stringverhalten in JAVA: HowTo?

[Java-Umsteiger]

Guten Abend!

In PHP kann ich ja ganz einfach sagen:

$id=42;
$sql="SELECT title, teaser, tags from news WHERE id=$id LIMIT 1";

Besonderheit hierbei: die Variable $id wird auch im String ausgewertet. Als String habe ich dann:
$sql="SELECT title, teaser, tags from news WHERE id=42 LIMIT 1";

Beachten: $id wurde durch 42 ersetzt. Wie kann ich so ein einfaches Verhalten auch mit JAVA realisieren?

 

[andre111]

int id = 42;
String sql = String.format("SELECT title, teaser, tags from news WHERE id=%d LIMIT 1", id);

 

[Java-Umsteiger]

Danke, das probier ich gleich mal aus...

 

[andre111]

oder einfach:

int id = 42;
String sql = "SELECT title, teaser, tags from news WHERE id=" + id + " LIMIT 1";

Wobei es mit String.format schöner ist.

 

[didjitalist]

noch schöner ist es, mit bindings zu arbeiten.

 

[ARadauer]

ich hoffe mal, das ist kein php code den du produktiv einsetzt... schon mal was von sql injections gehört?

schau dir mal das Thema PreparedStatements an....

 

[0x7F800000]

ich hoffe mal, das ist kein php code den du produktiv einsetzt... schon mal was von sql injections gehört?

könntest du einem interessierten Laien bitte etwas genauer erläutern, an welcher Stelle du in dieser einen Codezeile eine Möglichkeit für SQL-Injection siehst? Solange diese ganzen Variablen schön im Skript drin verbleiben und niemals nach außen durchsickern (genauer: von außern einsickern), ist doch alles einigermaßen in Ordnung? [ich gehe mal davon aus, dass id zufällig gewählt wird, sonst ist wirklich alles am Arsch ]

edit:

schau dir mal das Thema PreparedStatements an...

Ah, k, jetzt verstehe ich worauf du hinaus willst... Du befürchtest also doch, dass $id unüberprüft von außen reinkommt. Gut gut, schön wachsam

 

[ARadauer]

Ah, k, jetzt verstehe ich worauf du hinaus willst... Du befürchtest also doch, dass $id unüberprüft von außen reinkommt. Gut gut, schön wachsam

ja genau das befürchte ich...