PreparedStatement的setString方法

[sinat_37677711]

这是API，看了还是不太懂 这个方法是啥作用呢
例如在下面例子中

[dospy微光]

给sql语句的占位符设置值

[AYellow2048]

就是给Statement语句中的？占位符设置值，比如 public User findUserByName(String userName){ PreparedStatement ps = con.preparedStatement("select * from user where user_name = ?"); preparedStatment.setString(1, userName); ........... } 为什么不这样用呢？ con.preparedStatement("select * from user where user_name"+userName); 因为这样你的网站会被黑客脱光光，请自行搜索学习SQL注入攻击。