[RESOLVIDO] Problemas com SQL Injection

Qual o erro, manão?

Já tentou fazer pelo outro lado? String SQL = "SELECT * FROM usuario WHERE usu_nome LIKE ?"; PreparedStatement ps = (PreparedStatement) conn.preparedStatement(SQL); ps.setString(1, "%"+nome+"%"); rs = ps.executeQuery(); ps.close();

Vê se ajuda:

public ResultSet pesquisa (String nome){  
    ResultSet rs = null;  
      
    try{  
      
    String SQL = "SELECT * FROM usuario WHERE usu_nome LIKE ?;  
      
    PreparedStatement ps = (PreparedStatement) conn.preparedStatement(SQL);  
      
    ps.setString(1, "%" + nome + "%");  
      
    rs = ps.executeQuery();  
      
    ps.close();  
      
    }catch(Exception e){  
      
    }  
    return rs;  
    }

Fala Calinhos meu brother !

So seguir o que o amigo ai decima falou que vai dar certinho !

Passei por isso tbm … veja meu codigo !

pstm.setString(1, buscarCarona.getCidadePartida()+"%");

ou entao

pstm.setString(1, "%"+ buscarCarona.getCidadePartida()+"%");

Abraço

É isso ai amigos, deu certo sim!

Obrigado!!

Só pra constar, até onde eu sei isso aí não é SQL Injection

Então, para evitar o SQL Injection utiliza-se o PreparedStatement.

Na verdade o problema era utilizar % com PreparedStatement.

carlinhoscomp:

Então, para evitar o SQL Injection utiliza-se o PreparedStatement.

Na verdade o problema era utilizar % com PreparedStatement.

mas tudo bem, que bom que seu problema foi resolvido

Bom eu acho que isso é uma maneira para prevenir SQL Injection sim .

Pois pode usar o prepareStatement e mesmo assim usar variaveis no meuio do codigo SQL, tipo

String sql = "SELECT nome, email, sexo, cel FROM usuario WHERE id = "+ varId+" ;
   ResultSet rs = pstm.executeQuery();

galoneti:

Bom eu acho que isso é uma maneira para prevenir SQL Injection sim .

Pois pode usar o prepareStatement e mesmo assim usar variaveis no meuio do codigo SQL, tipo

String sql = "SELECT nome, email, sexo, cel FROM usuario WHERE id = "+ varId+" ;
   ResultSet rs = pstm.executeQuery();

Hehehe,

O codigo que citei, é vuneravel a SQL Injection,
o que eu quiz dizer é que, só o prepareStatement não previne o SQL Injection. ( Eu acho )

hehehe

Só por ter dado um new em um PreparedStatement realmente você não vai prevenir o SQL Injection, isso como muitas outras coisas vai depender da implementação.

Agora se usar o PreparedStatement como ele deve ser usado, aí sim previne.

Só por ter dado um new em um PreparedStatement realmente você não vai prevenir o SQL Injection, isso como muitas outras coisas vai depender da implementação.

Agora se usar o PreparedStatement como ele deve ser usado, aí sim previne.

Fecho, concordo !