PreparedStatement

(KAB-studioからのおしらせです)

// Sample.java
import java.sql.DriverManager;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class Sample
{
    public static void main( String[] args )
    {
        Connection conn = null;
        PreparedStatement psCreate = null;
        PreparedStatement psInsert = null;
        PreparedStatement psSelect = null;
        ResultSet rs1 = null;
        ResultSet rs2 = null;
        try
        {
            // この使用例の使用方法についてはSQLの項目を参照してください。
            
            // JDBCドライバをロードします。
            Class.forName( "org.hsqldb.jdbcDriver" );
            
            // コネクションを取得します。
            String url = "jdbc:hsqldb:mem:aname";
            String user = "sa";
            String password = "";
            conn = DriverManager.getConnection( url, user, password );

            // テーブルを作ります。
            psCreate = null;
            final String SQL_CREATE = "CREATE TABLE TABLE_TEST( NAME VARCHAR, VALUE INT );";
            psCreate = conn.prepareStatement( SQL_CREATE );
            psCreate.execute();

            // 行を追加します。
            // セットする値は直接記述せず、?にしておきます。
            // この?になっているSQLがプリペアードステートメントです。
            final String SQL_INSERT = "INSERT INTO TABLE_TEST VALUES( ?, ? );";
            // プリペアードステートメントは、Connectionインターフェイスの
            // prepareStatement()メソッドでPreparedStatementインターフェイスの
            // インスタンスを作って、これを使って操作します。
            psInsert = conn.prepareStatement( SQL_INSERT );
            for( int iF1 = 0; iF1 < 3; ++iF1 )
            {
                // ?に値をセットします。
                // 列の指定は、インデックスナンバーで行います。
                // 1から始まるので注意。
                psInsert.setString( 1, "ネーム" + iF1 );
                psInsert.setInt( 2, iF1 );
                // execute()メソッドでSQLを実行して、行を追加します。
                psInsert.execute();
            }

            // 検索します。その際、WHEREで絞り込みを行います。
            // 絞り込みに使用する値はセットせず、?にしておきます。
            final String SQL_SELECT = "SELECT NAME, VALUE FROM TABLE_TEST WHERE NAME = ?;";
            // INSERTの時と同じく、?に値をセットする場合には
            // PreparedStatementインターフェイスを使用します。
            psSelect = conn.prepareStatement( SQL_SELECT );
            // ?に検索条件をセットします。
            // これもインデックスナンバーは1から始まるので注意してください。
            psSelect.setString( 1, "ネーム1" );
            // 検索します。
            rs1 = psSelect.executeQuery();
            while( rs1.next() )
            {
                String name = rs1.getString( "NAME" );
                int value = rs1.getInt( "VALUE" );
                System.out.println( name + ", " + value );
            }
            // ネーム1, 1

            // setInt()等のメソッドを使用した結果のSQLは、単なる「置き換え」ではありません。
            // たとえば、こんな感じのパラメーターをセットしてみます。
            psSelect.setString( 1, "' OR 'DUMMY' = 'DUMMY" );
            // もし単なる置き換えであれば、
            // 「SELECT NAME, VALUE FROM TABLE_TEST WHERE NAME = '' OR 'DUMMY' = 'DUMMY'」
            // というSQLが作られ、検索条件が変わります。ですが
            rs2 = psSelect.executeQuery();
            while( rs2.next() )
            {
                String name = rs2.getString( "NAME" );
                int value = rs2.getInt( "VALUE" );
                System.out.println( name + ", " + value );
            }
            // （0件です）

            // と、実際にはそうならず、'がサニタイジングされてそのまま検索条件になります。
            // この機能のおかげでSQLインジェクションを防ぐことができます。
        } 
        catch( SQLException e ) 
        {
            // SQLの実行で問題があった場合に投げられます。
            e.printStackTrace();
        }
        catch( ClassNotFoundException e ) 
        {
            // JDBCドライバが存在しなかった場合に投げられます。
            e.printStackTrace();
        }
        finally
        {
            if( rs1 != null )
            {
                try
                {
                    rs1.close();
                }
                catch( SQLException e )
                {
                    // 各close()メソッドからもSQLException例外が
                    // 投げられるので、拾っておきます。
                    e.printStackTrace();
                }
            }

            if( rs2 != null )
            {
                try
                {
                    rs2.close();
                }
                catch( SQLException e )
                {
                    // 各close()メソッドからもSQLException例外が
                    // 投げられるので、拾っておきます。
                    e.printStackTrace();
                }
            }

            if( psSelect != null )
            {
                try
                {
                    psSelect.close();
                }
                catch( SQLException e )
                {
                    // 各close()メソッドからもSQLException例外が
                    // 投げられるので、拾っておきます。
                    e.printStackTrace();
                }
            }

            if( psInsert != null )
            {
                try
                {
                    psInsert.close();
                }
                catch( SQLException e )
                {
                    // 各close()メソッドからもSQLException例外が
                    // 投げられるので、拾っておきます。
                    e.printStackTrace();
                }
            }

            if( psCreate != null )
            {
                try
                {
                    psCreate.close();
                }
                catch( SQLException e )
                {
                    // 各close()メソッドからもSQLException例外が
                    // 投げられるので、拾っておきます。
                    e.printStackTrace();
                }
            }

            if( conn != null )
            {
                try
                {
                    conn.close();
                }
                catch( SQLException e )
                {
                    // 各close()メソッドからもSQLException例外が
                    // 投げられるので、拾っておきます。
                    e.printStackTrace();
                }
            }
        }
    }
}