指定された基準でjavaが存在する場合、データベースをチェックする方法は？

Question

私はテーブルVIDEO (VideoID int Primary Key, Address Varchar(100))を持っており、与えられたアドレスのビデオがあるかどうかを調べるためにテーブルを検索したいと思います。しかし、このコードがうまくいくかどうか、そしてこれがうまくいくかどうかはわかりません。

public boolean checkIfVideoExist(String address) throws SQLException { 
    int count = 0; 
    Statement stmt = connection.createStatement(); 
    ResultSet rset = stmt 
      .executeQuery("SELECT Count(VideoID) from VIDEO WHERE Address='" 
        + address + "'"); 
    if (rset.next()) 
     count = rset.getInt(1); 
    if (count == 0) 
     return false; 
    else 
     return true; 
} 

Answer 1

インデックスが必ずADDRESSに設定されていることを確認してください。次に、クエリが高速に実行されます。

アドレス値をクエリに渡すには、準備されたステートメントを使用することをお勧めします。結果セットとステートメントを閉じる必要があります。

そして

if (count == 0) 
    return false; 
else 
    return true; 

少し奇妙に見えます。

public boolean checkIfVideoExist(String address) throws SQLException { 
    int count = 0; 
    PreparedStatement stmt = null; 
    ResultSet rset = null; 
    try { 
    stmt = connection.prepareStatement(
     "SELECT Count(VideoID) from VIDEO WHERE Address=?"); 
    stmt.setString(1, address); 
    rset = stmt.executeQuery(); 
    if (rset.next()) 
     count = rset.getInt(1); 
    return count > 0; 
    } finally { 
    if(rset != null) { 
     try { 
     rset.close(); 
     } catch(SQLException e) { 
     e.printStackTrace(); 
     } 
    }   
    if(stmt != null) { 
     try { 
     stmt.close(); 
     } catch(SQLException e) { 
     e.printStackTrace(); 
     } 
    }   
    }  
} 

Answer 2

ResultSet rset = stmt.executeQuery("SELECT * from VIDEO WHERE Address='" + address + "'"); 
return rset.next(); 

はその後、少なくとも一つの一致するレコードがあり、あなたが行われています。 はここに私のコードです。 ....

Answer 3

コードにはSQL Injectionの脆弱性があります。文字列連結を使用してSQLクエリを構築する代わりにa prepared statementを使用する必要があります。

それ以外は問題ありません。

Answer 4

クエリに文字列を埋め込む方法を除いて、コードは問題ありません。アドレスに引用符が含まれている場合、そのクエリは無効になります。これは問題のほんの一部です。このようにすることで、悪意のあるユーザーがクエリの意味を完全に変更するアドレスを入力できるSQLインジェクション攻撃の扉が開かれます。

必ずパラメータをバインドするために準備されたステートメントを使用します。

PreparedStatement stmt = connection.prepareStatement("SELECT Count(VideoID) from VIDEO WHERE Address=?"); 
stmt.setString(1, address); // proper escaping is done for you by the JDBC driver 
ResultSet rset = stmt.executeQuery(); 

また、あなたはあなたの結果セットと文を閉じるためにfinallyブロックを使用する必要があります。