SQLServerException: 无效的列名 尝试执行 SQL 插入查询时

问题
我正在尝试通过 jframe 和 Jtext 插入查询，但出现以下错误：

我插入值 ??name=A、city=B、street=c、phone=0542223。

1. private static final String SQL2 = "insert into Hospital (name,city,street,phone) values (";
   
2. private static final String CONN_URL = "jdbc:sqlserver://localhost:1433;databaseName=MedicalDB;integratedSecurity=true;";
   
3.           JLabel name = new JLabel("name");
   
4.       JTextField name1 = new JTextField();
   
5.       name1.setPreferredSize(new Dimension(100, 30));
   
6. 
   
7.       JLabel city = new JLabel("city");
   
8.       JTextField city1 = new JTextField();
   
9.       city1.setPreferredSize(new Dimension(100, 30));
   
10. 
    
11.       JLabel street3 = new JLabel("the street");
    
12.       JTextField street4 = new JTextField();
    
13.       street4.setPreferredSize(new Dimension(100, 30));
    
14. 
    
15.       JLabel Phone = new JLabel("Phone num");
    
16.       JTextField Phone1 = new JTextField();
    
17.       Phone1.setPreferredSize(new Dimension(100, 30));
    
18. 
    
19.       String name = name1.getText();
    
20.       String city = city1.getText();
    
21.       String street = street4.getText();
    
22.       String phone = Phone1.getText();
    
23. 
    
24.       Statement stmt1 = con.createStatement();
    
25.       System.out.println(phone);
    
26. 
    
27.       String theString = SQL2 + name + "," +  city + "," + street +"," + phone + ");";
    
28.       stmt1.executeUpdate(theString);
    
29.     }
    
30.     catch (Exception e1) {
    
31.         e1.printStackTrace();
    
32.         System.out.println("here5");
    
33.     }
    
34. }

复制代码

回答
您没有引用要插入的字符串变量，因此数据库将它们解释为列名，然后由于这些列不存在而失败。

避免这个问题和 SQL 注入漏洞的经典方法是使用 PreparedStatement ：

1. private static final String INSERT_SQL =
   
2.     "insert into Hospital (name, city, street, phone) values (?, ?, ?, ?)";
   
3. 
   
4. try (ps = con.prepareStatement(INSERT_SQL)) {
   
5.     ps.setString(1, name);
   
6.     ps.setString(2, city);
   
7.     ps.setString(3, street);
   
8.     ps.setString(4, phone);
   
9.     ps.executeUpdate();
   
10. }

复制代码