0

У меня есть переменная типа String,которая называется str. Я хочу сделать выборку из таблицы table все name которые равны str.Я написал так:

String sql = "SELECT *FROM table WHERE name=" + str ; 
Cursor cursor = sq.rawQuery(sql,null);

Но программа не работает.Пытался использовать LIKE и =?, но все равно. Скажите пожалуйста,где ошибка при выборке?

2
  • sql = "SELECT * FROM table WHERE name='" + str + "';"; так попробуйте
    – Den
    8 июл 2016 в 15:00
  • Вообще вам посоветовали не лучший вариант, потому как таким образом очень легко можно взломать приложения подсунув кавычки в строке. Вы бы указали на каком языке пишите. Во всех языках есть привязываемые параметры. Это когда запрос вида where name=? и параметрами в rawQuery или еще в какую нибудь функцию передается требуемое значение
    – Mike
    8 июл 2016 в 15:33

1 ответ 1

-1

Я думаю так должно заработать

String sql = "SELECT * FROM table WHERE name='"+str+"'"
3
  • 1
    никогда не подставляйте текст прямо в запрос. используйте подставляемые параметры, например как тут stackoverflow.com/questions/10598137/…
    – Mike
    8 июл 2016 в 15:40
  • @Mike такой способ работает в c#? 9 июл 2016 в 14:13
  • Сейчас во всех языках драйвера для работы с БД имеют именно такую логику. Вот спросил у гугла "C# database connection". codeproject.com/Articles/823854/… см. в разделе "Parameterizing the data", чуть сложнее, отдельная функция для установки параметров и по именам вместо позиционных знаков "вопрос".
    – Mike
    9 июл 2016 в 15:03

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.