Programme ,als Text in MySql speichern

[Dimax]

Hallo zusammen,

hab versucht Programm Code in eine MySql-Tabelle als Text zu speichern,und dann habe ich folgende Fehlermeldung

java.sql.SQLSyntaxErrorException: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'QS0210(KEEP= REGION
INR
BUCHUNGSTAG
OBJEKTID
OBJEKTTYP
CHAR_WERT
NUM_WERT
' at line 1
    at com.mysql.cj.jdbc.exceptions.SQLError.createSQLException(SQLError.java:118)
    at com.mysql.cj.jdbc.exceptions.SQLError.createSQLException(SQLError.java:95)
    at com.mysql.cj.jdbc.exceptions.SQLExceptionsMapping.translateException(SQLExceptionsMapping.java:122)
    at com.mysql.cj.jdbc.ClientPreparedStatement.executeInternal(ClientPreparedStatement.java:960)
    at com.mysql.cj.jdbc.ClientPreparedStatement.executeUpdateInternal(ClientPreparedStatement.java:1116)
    at com.mysql.cj.jdbc.ClientPreparedStatement.executeUpdateInternal(ClientPreparedStatement.java:1066)
    at com.mysql.cj.jdbc.ClientPreparedStatement.executeLargeUpdate(ClientPreparedStatement.java:1396)
    at com.mysql.cj.jdbc.ClientPreparedStatement.executeUpdate(ClientPreparedStatement.java:1051)
    at methoden.SpeicherungInMYSQL.SpeichernSteps(SpeicherungInMYSQL.java:877)
    at org.apache.jsp.Projektorganisation.Programmehinzufuegen_jsp._jspService(Programmehinzufuegen_jsp.java:289)
    at org.apache.jasper.runtime.HttpJspBase.service(HttpJspBase.java:70)
    at javax.servlet.http.HttpServlet.service(HttpServlet.java:742)
    at org.apache.jasper.servlet.JspServletWrapper.service(JspServletWrapper.java:443)
    at org.apache.jasper.servlet.JspServlet.serviceJspFile(JspServlet.java:386)
    at org.apache.jasper.servlet.JspServlet.service(JspServlet.java:330)
    at javax.servlet.http.HttpServlet.service(HttpServlet.java:742)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:231)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:166)
    at org.apache.tomcat.websocket.server.WsFilter.doFilter(WsFilter.java:52)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:193)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:166)
    at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:198)
    at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:96)
    at org.apache.catalina.authenticator.AuthenticatorBase.invoke(AuthenticatorBase.java:496)
    at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:140)
    at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:81)
    at org.apache.catalina.valves.AbstractAccessLogValve.invoke(AbstractAccessLogValve.java:650)
    at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:87)
    at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:342)
    at org.apache.coyote.http11.Http11Processor.service(Http11Processor.java:803)
    at org.apache.coyote.AbstractProcessorLight.process(AbstractProcessorLight.java:66)
    at org.apache.coyote.AbstractProtocol$ConnectionHandler.process(AbstractProtocol.java:790)
    at org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.doRun(NioEndpoint.java:1459)
    at org.apache.tomcat.util.net.SocketProcessorBase.run(SocketProcessorBase.java:49)
    at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1149)
    at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:624)
    at org.apache.tomcat.util.threads.TaskThread$WrappingRunnable.run(TaskThread.java:61)
    at java.lang.Thread.run(Thread.java:748)
Fehler beim SpeichernSteps 607

in Java sieht es so aus:

PreparedStatement st=null;
String step=new String("");
step=temp.substring(idxStepBegin,stepEnde);//hier wird benötigte ProgrammCode                                                                                     //rausgenomen
sql=new String("insert into step_daten(projekt_id,programm_id,step_id,step_type,anzahl_lines,step)"+
                        "values("+projekt_id+","+programm_id+","+step_id+",'"+step_typ+"',"+anzahl_lines+","+step+")");
                st=cn.prepareStatement(sql.toString());
                st.executeUpdate();

Ich gehe davon aus ,dass der ProgrammCode als Sql Anweisung erkannt wird.
Wie kann man es vermeiden?
Vielen Dank im Voraus!

 

[thet1983]

sql injection lässt grüssen...

arbeite mit parameter! oracle

meldung passt nicht zusammen...du hast andere spalten namen.

 

[Dimax]

Danke thet1983 für deine Antwort.Fehlermeldung gibt keine Spaltennamen aus.Was die ausgibt ist ein Programmausschnitt ,dass in Sql gespeichert werden soll ,aber das wird compiliert.

 

[thet1983]

insert into step_daten(projekt_id,programm_id,step_id,step_type,anzahl_lines,step)"+
"values

mach vor " values(..." ein Leerzeichen rein

 

[Dimax]

Leider habe ich bis jetzt keine passende Lösung gefunden.
SQL Injection war interessant ,genau das möchte ich vermeiden aber wie?

 

[Flown]

PreparedStatements verwenden. Man findet zig Tutorials auf Google, wie man SQL Injection verhindert.

 

[Dimax]

Danke Flown für deine Antwort .
Ich benutze ja PreparedStatement ,nur ,wie es aussieht, wahrscheinlich falsch.
Ein link zum Tutorial wäre hilfreich. Oracle doku gelesen,wiki seite auch ,aber irgenwie nicht ganz verstanden.

 

[Dimax]

Gefunden.
Danke an alle die versucht haben zu helfen.
Das war die Lösung:

 sql=new String("insert into step_daten(projekt_id,programm_id,step_id,step_type,anzahl_lines,step)"+
                        "values (?,?,?,?,?,?)");
                sql.concat(", (?,?,?,?,?,?)");               
                st=cn.prepareStatement(sql.toString());
                st.setInt(1,projekt_id);
                st.setInt(2,programm_id);
                st.setInt(3,step_id);
                st.setString(4,step_typ);
                st.setInt(5,anzahl_lines);
                st.setString(6,step);
                st.executeUpdate();