Insérer ' depuis un textField

Version imprimable

Bonsoir,

je veux insérer un mot dans ma table contenant ' en utilisant un preparestatement query mais j'ai toujours une erreur

Code:

1
2
3
 
 statement = connection.prepareStatement("INSERT INTO Projet ( Nom , date_de_début,   date_de_fin, Nombre_de_logements  , Adresse, Type_de_logements ) VALUES('"+nom.getText()+"','"+ dated.getText()+"','" + datef.getText()+"',"+ nbr.getText()+",'"+adresse.getText()+ "','" +textField.getText()+ "')");
			  statement.executeUpdate();

Salut,

C'est parce qu'on ne doit pas utiliser de concaténation de String avec un PreparedStatement. Pour l'utiliser, on met ? à la place des valeurs variables, et on utilise le setter adapté pour affecter la valeur.

Par exemple :
Code:

1 2 3 PreparedStatement statement = con.preparedStatement("SELECT truc FROM table WHERE nom = ? and value > ? "); statement.setString(1, jtextfield1.getText()); statement.setInt(2, Integer.parsetInt(jtextfield2.getText()));

02/11/2017, 22h17
bensh

Merci beaucoup je vais le changer;)

another problem

Code:

1
2
3
4
5
6
7
8
9
10
11
12
 
   	 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,?,?,?,?");
 
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

voici ce que j'ai fait mais pour les 4 derniéres lignes , j'ai dans ma base de données des requêtes SQL et non pas leurs résultats , j'ai essayé de faire ça

Code:

1
2
3
4
5
6
7
8
9
10
11
 
			 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,"+ ("SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'")+",?,?,?");
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			//statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

another problem

Code:

1
2
3
4
5
6
7
8
9
10
11
12
 
   	 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,?,?,?,?");
 
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

voici ce que j'ai fait mais pour les 4 derniéres lignes , j'ai dans ma base de données des requêtes SQL et non pas leurs résultats , j'ai essayé de faire ça

Code:

1
2
3
4
5
6
7
8
9
10
11
 
			 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?,"+ ("SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'")+",?,?,?");
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());
			//statement.setString(5, "SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "'");
			 statement.setString(6, ("SELECT Nom_du_projet FROM Client WHERE Nom='" + nom.getText()+ "' AND Prenom='" +prenom.getText()+ "'"));
			 statement.setString(7, ("SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'"));
			 statement.setString(8,("SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"   +")"));

03/11/2017, 00h48
tchize_

ben oui, le but c'est justement d'éviter l'injection sql en t'empêchant de mettre du sql dans tes valeurs.

tu dois créer ta requête complete dans le prepared statement, en remplacant seulement les valeur par des ? . Les ? sont juste des valeurs, pas du code sql.
De plus on ne peux pas mettre un select à la place d'un champ d'un manière générale en SQL. Commence par créer un requête SQL qu fonctionne dans ton outils SQL. Après seulement essaie de la traduire en statement java. Ca ne sert à rien d'exécuter ne java du sql invalide.
03/11/2017, 13h44
bensh

Avant de passer de createStetement à preparedStatement ça marché ( select imbriqué dans insert)

bizarre mais bon si tu as une requête qui marche, je vais partir du principe que tu as raison, il faut juste changer les valeurs venant des input par des ?

un truc du genre

Code:

1
2
3
4
5
 statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) "+
          " VALUES(?,?,?,?,"+ 
                       " (SELECT Prix_du_logement FROM Client WHERE Nom= ?  AND Prenom=?), "+
                       " (SELECT Nom_du_projet FROM Client WHERE Nom=? AND Prenom=?), "+
                       " (SELECT SUM(Somme_versee)  FROM Versement WHERE Nom=? AND Prenom=?))");

j'ai fait dans une jframe et ça ne marche pas

Code:

1
2
3
4
5
6
7
8
 
statement = connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Date , Somme_versee,Prix_du_logement, Nom_du_projet, Versement_total, Versement_restant) VALUES(?,?,?,?," + "(SELECT Prix_du_logement FROM Client WHERE Nom='"+ nom.getText() +"' AND Prenom='"+ prenom.getText() + "')," + "(SELECT Nom_du_projet From Client WHERE Nom='"+ nom.getText()+"' AND Prenom='"+ prenom.getText()+"'),"+ "(SELECT SUM(Somme_versee) + " + verse.getText() +" FROM Versement WHERE Nom='"+ nom.getText() + "' AND Prenom='"+ prenom.getText()+ "'),"+"(SELECT (Versement_restant - " +  verse.getText() +") From Versement WHERE Nom='" +nom.getText() + "' AND Prenom='" + prenom.getText()+"'"+ ")"    +")");            
 
 
			 statement.setString(1, nom.getText());
			 statement.setString(2, prenom.getText());
			 statement.setString(3, date.getText());
			 statement.setString(4, verse.getText());

par contre, j'ai suivi le même principe dans une autre requête et ça fonctionne

Code:

1
2
3
4
5
6
7
8
9
 
 
			  statement= connection.prepareStatement("INSERT INTO Versement ( Nom , Prenom, Somme_versee, Nom_du_projet, Prix_du_logement,  Date, Versement_restant ) VALUES (?,?,?,?,?,?," + (textField.getText() + "-" +  versement.getText()) +" )");
			  statement.setString(1, nom.getText());
			  statement.setString(2, prenom.getText());
			  statement.setString(3, versement.getText());
			  statement.setString(4,comboBox.getSelectedItem().toString());
			  statement.setString(5, textField.getText());
			  statement.setString(6, date.getText());

13/11/2017, 10h47
joel.drigo

"ça marche pas" ne veut rien dire. Si tu as une erreur, indique-nous laquelle. Et le premier extrait de code que tu montres ne suit pas le principe énoncé (il y a concaténation avec des valeurs et non utilisation du ?).
13/11/2017, 12h28
bensh

c'est bon je l'ai résolu, il fallait que je remplace les valeurs par des ?
Merci beaucoup