Variable Parameterinhalte an einen Query übergeben?

[Anyone]

Ich kenne es von PHP her, dass man der "Query-Zeichenkette" beliebig viele Variableninhalte zuordnen kann. Ich habe versucht dieses Konzept auf Java zu übertragen, jedoch kapiere ich momentan gar nichts mehr...

Folgende Zeile löst eine Exception aus:

rs = stmt.executeQuery("SELECT * FROM t_kunden WHERE Kunden_ID = " + userID + " AND Passwort = \"" + userPassword + "\"");

Ich habe es sowohl mit escapen, als auch ohne escapen versucht, jedoch wird beim der ersten Methode eine Exception geschmissen, deren Meldung lautet:

Before start of result set

Versuche ich es ohne escapen, kommt die Meldung - wenn ich z.B. als userPassword "kundenpw" eingebe:

Unknown column "kundenpw" in "where clause"

Was muss ich tun, damit das Statement korrekt ausgeführt werden kann?

Edit: Ah, PreparedStatements war wohl das Schlüsselwort.

 

[X3TitanCore]

Versuch mal anstatt \" die einfachen Quotes (') zu nehmen.

 

[ARadauer]

man sollte in Java mit PreparedStatements arbeiten. Erspart dir viel arbeit beim escapen und verhindert SQL Injections...

      PreparedStatement stmt =  con.prepareStatement("SELECT * FROM t_kunden WHERE Kunden_ID = ? AND Passwort = ?");
      stmt.setString(1, userID);
      stmt.setString(2, userPassword );
      rs = stmt.executeQuery();

 

[X3TitanCore]

Das stimmt.
Ist natürlich die bessere Varinate. Dann kann man einfach über setString etc. die Variablen setzen. Und schneller ist es auch wenn man gleiche Querys mehrfach abschicken muß.