Wildcards в Java PreparedStatements

Question

Вот мой текущий оператор SQL:

SEARCH_ALBUMS_SQL = "SELECT * FROM albums WHERE title LIKE ? OR artist LIKE ?;"; 

Это точное возвращение совпадает с именами альбома или исполнителя, но нет ничего другого. Я не могу использовать «%» в инструкции или я получаю ошибки.

Как добавить подстановочные знаки в подготовленный оператор?

(я использую java5 и MySQL)

Спасибо!

Answer 1

Вы помещаете% в связанную переменную. Таким образом, вы

stmt.setString(1, "%" + likeSanitize(title) + "%"); 
    stmt.setString(2, "%" + likeSanitize(artist) + "%"); 

Вы должны добавить ESCAPE '!', чтобы вы могли избежать специальных символов, которые имеют значение LIKE в вас.

Перед использованием названия или группы вы должны их санобработку (как показаны выше), убегая специальные символы (, %, _ и [!) С помощью метода, как это:

public static String likeSanitize(String input) { 
    return input 
     .replace("!", "!!") 
     .replace("%", "!%") 
     .replace("_", "!_") 
     .replace("[", "!["); 
}