Discussion :

[bensh]

Bonsoir,

je veux insérer un mot dans ma table contenant ' en utilisant un preparestatement query mais j'ai toujours une erreur

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
 
 statement = connection.prepareStatement("INSERT INTO Projet ( Nom , date_de_début,   date_de_fin, Nombre_de_logements  , Adresse, Type_de_logements ) VALUES('"+nom.getText()+"','"+ dated.getText()+"','" + datef.getText()+"',"+ nbr.getText()+",'"+adresse.getText()+ "','" +textField.getText()+ "')");
			  statement.executeUpdate();

[joel.drigo]

Salut,

C'est parce qu'on ne doit pas utiliser de concaténation de String avec un PreparedStatement. Pour l'utiliser, on met ? à la place des valeurs variables, et on utilise le setter adapté pour affecter la valeur.

Par exemple :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
PreparedStatement statement = con.preparedStatement("SELECT truc FROM table WHERE nom = ? and value > ? "); 
statement.setString(1, jtextfield1.getText());
statement.setInt(2, Integer.parsetInt(jtextfield2.getText()));

[bensh]

Merci beaucoup je vais le changer

[bensh]

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
 
   	 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,?,?,?,?");
 
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

voici ce que j'ai fait mais pour les 4 derniéres lignes , j'ai dans ma base de données des requêtes SQL et non pas leurs résultats , j'ai essayé de faire ça

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
 
			 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,"+ ("SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'")+",?,?,?");
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			//statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

[bensh]

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
 
   	 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,?,?,?,?");
 
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

voici ce que j'ai fait mais pour les 4 derniéres lignes , j'ai dans ma base de données des requêtes SQL et non pas leurs résultats , j'ai essayé de faire ça

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
 
			 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,"+ ("SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'")+",?,?,?");
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			//statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

[tchize_]

ben oui, le but c'est justement d'éviter l'injection sql en t'empêchant de mettre du sql dans tes valeurs.

tu dois créer ta requête complete dans le prepared statement, en remplacant seulement les valeur par des ? . Les ? sont juste des valeurs, pas du code sql.
De plus on ne peux pas mettre un select à la place d'un champ d'un manière générale en SQL. Commence par créer un requête SQL qu fonctionne dans ton outils SQL. Après seulement essaie de la traduire en statement java. Ca ne sert à rien d'exécuter ne java du sql invalide.

[bensh]

Avant de passer de createStetement à preparedStatement ça marché ( select imbriqué dans insert)