Discussion :

[bensh]

Bonsoir,

je veux insérer un mot dans ma table contenant ' en utilisant un preparestatement query mais j'ai toujours une erreur

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
 
 statement = connection.prepareStatement("INSERT INTO Projet ( Nom , date_de_début,   date_de_fin, Nombre_de_logements  , Adresse, Type_de_logements ) VALUES('"+nom.getText()+"','"+ dated.getText()+"','" + datef.getText()+"',"+ nbr.getText()+",'"+adresse.getText()+ "','" +textField.getText()+ "')");
			  statement.executeUpdate();

[joel.drigo]

Salut,

C'est parce qu'on ne doit pas utiliser de concaténation de String avec un PreparedStatement. Pour l'utiliser, on met ? à la place des valeurs variables, et on utilise le setter adapté pour affecter la valeur.

Par exemple :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
PreparedStatement statement = con.preparedStatement("SELECT truc FROM table WHERE nom = ? and value > ? "); 
statement.setString(1, jtextfield1.getText());
statement.setInt(2, Integer.parsetInt(jtextfield2.getText()));

[bensh]

Merci beaucoup je vais le changer

[bensh]

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
 
   	 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,?,?,?,?");
 
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

voici ce que j'ai fait mais pour les 4 derniéres lignes , j'ai dans ma base de données des requêtes SQL et non pas leurs résultats , j'ai essayé de faire ça

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
 
			 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,"+ ("SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'")+",?,?,?");
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			//statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

[bensh]

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
 
   	 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,?,?,?,?");
 
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

voici ce que j'ai fait mais pour les 4 derniéres lignes , j'ai dans ma base de données des requêtes SQL et non pas leurs résultats , j'ai essayé de faire ça

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
 
			 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,"+ ("SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'")+",?,?,?");
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			//statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

[tchize_]

ben oui, le but c'est justement d'éviter l'injection sql en t'empêchant de mettre du sql dans tes valeurs.

tu dois créer ta requête complete dans le prepared statement, en remplacant seulement les valeur par des ? . Les ? sont juste des valeurs, pas du code sql.
De plus on ne peux pas mettre un select à la place d'un champ d'un manière générale en SQL. Commence par créer un requête SQL qu fonctionne dans ton outils SQL. Après seulement essaie de la traduire en statement java. Ca ne sert à rien d'exécuter ne java du sql invalide.

[bensh]

Avant de passer de createStetement à preparedStatement ça marché ( select imbriqué dans insert)

[tchize_]

bizarre mais bon si tu as une requête qui marche, je vais partir du principe que tu as raison, il faut juste changer les valeurs venant des input par des ?


un truc du genre

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) "+
          " VALUES(?,?,?,?,"+ 
                       " (SELECT Prix_du_logement FROM Client WHERE Nom= ?  AND Prenom=?), "+
                       " (SELECT Nom_du_projet FROM Client WHERE Nom=? AND Prenom=?), "+
                       " (SELECT SUM(Somme_versee)  FROM Versement WHERE Nom=? AND Prenom=?))");

[bensh]

j'ai fait dans une jframe et ça ne marche pas

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
 
statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?," + "(SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "')," + "(SELECT Nom_du_projet From Client WHERE Nom='"+ nom.getText()+"' AND Prenom='"+ prenom.getText()+"'),"+ "(SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'),"+"(SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"    +")");            
 
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());

par contre, j'ai suivi le même principe dans une autre requête et ça fonctionne

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
 
 
			  statement= connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Somme_versee, Nom_du_projet, Prix_du_logement,  Date, Versement_restant ) VALUES (?,?,?,?,?,?," + (textField.getText() + "-" +  versement.getText()) +" )");
			  statement.setString(1, nom.getText());
			  statement.setString(2, prenom.getText());
			  statement.setString(3, versement.getText());
			  statement.setString(4,comboBox.getSelectedItem().toString());
			  statement.setString(5, textField.getText());
			  statement.setString(6, date.getText());

[joel.drigo]

"ça marche pas" ne veut rien dire. Si tu as une erreur, indique-nous laquelle. Et le premier extrait de code que tu montres ne suit pas le principe énoncé (il y a concaténation avec des valeurs et non utilisation du ?).

[bensh]

c'est bon je l'ai résolu, il fallait que je remplace les valeurs par des ?
Merci beaucoup