Блог

Пытаюсь удалить запись из моей базы данных, но получаю сообщение об ошибке «Неизвестный столбец» в предложении where».

 private void deleteUser() {
    String query = "DELETE FROM user WHERE Name ="   tfemail.getText()   "";
    executeQuery(query);
    showUsers();
}
 

Вы не можете писать запросы таким образом. Представьте, что кто-то поместил в tfemail поле этот текст:

 "Joe' OR FALSE"
 

и давайте посмотрим, что это сделает с вашим SQL-запросом:

 DELETE FROM user WHERE Name = 'Joe' OR FALSE;
 

прощай, база данных!

Некоторые базы данных позволяют выполнять данные на сервере, на котором работает движок БД. Это означает, что этот трюк можно использовать для полного взлома компьютера или полного форматирования диска. пока, вся машина.

Это также означает, что ваш executeQuery метод необходимо удалить — эта абстракция («вот какой-то SQL, пожалуйста, запустите его») редко бывает полезной (поскольку она не может содержать никакого пользовательского ввода) и побуждает вас писать утечки безопасности.

Решение — подготовленные операторы:

 PreparedStatement ps = con.prepareStatement("DELETE FROM user WHERE Name = ?");
ps.setString(1, "Joe");
ps.executeUpdate();
 

Это решает вашу проблему, и делает это безопасно — ps.setString(1, "Joe' OR FALSE"); теперь это больше не проблема (движок DB или драйвер JDBC гарантируют, что он позаботится о проблеме; результатом будет удаление записи в вашей пользовательской таблице, которая буквально читается как «Joe» ИЛИ FALSE»).

Кроме того, хранение паролей в базе данных не является приемлемой стратегией; решение, например, bcrypt: используйте алгоритм хеширования, разработанный специально для хранения паролей.

 String query = "DELETE FROM user WHERE Name ='"   tfemail.getText()   "'";
                                             ^                         ^
                                             |___________add___________|