Javaプリペアドステートメントのtablename変数の使用方法insert

Question

Java PreparedStatmentオブジェクトを使用して、一連のバッチ処理されたINSERTクエリを作成しています。クエリステートメントは、その両方のフィールドの値とテーブル名は、変数（つまり、ある... ...フォーマットの

String strQuery = "INSERT INTO ? (col1, col2, col3, col4, col5) VALUES (?,?,?,?,?,?);"; 

です。私は、それぞれのインサートがに送られますその同じ列の形式で複数のテーブルを持っています異なるもの）。私が "？"を削除すれば、実行することができます。テーブル名の変数とハードコードが、それぞれ準備されたステートメントは、別のテーブルに挿入されますので、どのように私はこれが動的にさせることができます

stmt.setString(1, "tableName1"); 

...私はすぐに使用してバッチクエリを実行する前に取り込む変数を維持する必要があります変えてください？

Answer 1

できません。 String.formatを使用して文字列連結/プレースホルダを使用してSQLを構築する必要があります。準備された文は、表名ではない列値用です。

Answer 2

あなたは、元の文字列に追加する必要があります：あなたはstrQueryでセミコロンを

String tableName = "some_table_name"; 
// some other code 
String strQuery = "INSERT INTO " + tableName + " (col1, col2, col3, col4, col5) VALUES (?,?,?,?,?,?);"; 

必要がありますか？ （あなたがするかもしれない、それはちょっと私には奇妙に見えます:-)）

Answer 3

テーブル名はパラメータとして使用することはできません。それはハードコードされている必要があります。

String tableName = "tableName1"; 
String strQuery = "INSERT INTO " + tableName + " (col1, col2, col3, col4, col5) VALUES (?,?,?,?,?,?);"; 

Answer 4

1つの選択肢は、String.format次のようになります。

例えば

String sql = String.format("INSERT INTO $1%s (col1, col2, col3, (etc)", myTablename); 

Answer 5

テーブル名の代わりにプレースホルダを使用し、それをあなたのタブ名と置き換えることができます。

String strQuery = "INSERT INTO $tableName (col1, col2, col3, col4, col5) 
        VALUES (?,?,?,?,?,?);"; 

およびuはテーブル名

SQLインジェクションの脆弱性

String query =strQuery.replace("$tableName",tableName); 
stmt =conn.prepareStatement(query);