"select ZYName,YLName,YDY,YX,GX,ZhongYao.ZZ as ZZ from Yaolei,ZhongYao where Yaolei.YLID=ZhongYao.YLID and ZYName like '%"+name+"%'"; 这个语句有错误吗

这个查询语句的语法是正确的，但是它存在SQL注入的风险，因为它使用了字符串拼接的方式来构造SQL查询语句，而没有使用PreparedStatement来防止SQL注入攻击。

为了避免SQL注入攻击，我们应该使用PreparedStatement来代替字符串拼接，像这样：

"select ZYName,YLName,YDY,YX,GX,ZhongYao.ZZ as ZZ from Yaolei,ZhongYao where Yaolei.YLID=ZhongYao.YLID and ZYName like ?"

然后，在设置PreparedStatement参数时，我们可以使用setString方法来设置查询参数，像这样：

pstmt.setString(1, "%" + name + "%");

这样就可以避免SQL注入攻击，同时正确执行SQL查询语句了。

相关问题

JSP文件：[/testSouSuo.jsp] 的第 [68] 行发生了一个错误 The operator + is undefined for the argument type(s) String 65: // 鎵ц鏌ヨ绛夋搷浣� 66: 67: //select ZYName,YLName,YDY,YX,GX,ZhongYao.ZZ as ZZ from Yaolei,ZhongYao where Yaolei.YLID=ZhongYao.YLID and ZYName like '%name%' 68: String sql = "select ZYName,YLName,YDY,YX,GX,ZhongYao.ZZ as ZZ from Yaolei,ZhongYao where Yaolei.YLID=ZhongYao.YLID and ZYName like '"%+name+"%'";

根据错误提示，第68行的语句出现了问题，因为在字符串连接时使用了加号运算符，但是加号运算符不能用于连接字符串。建议在连接字符串时使用字符串拼接函数，如String.format()或StringBuilder类。您可以尝试将第68行的语句修改为以下内容：

String sql = String.format("select ZYName,YLName,YDY,YX,GX,ZhongYao.ZZ as ZZ from Yaolei,ZhongYao where Yaolei.YLID=ZhongYao.YLID and ZYName like '%%%s%%'", name);

或者

StringBuilder sqlBuilder = new StringBuilder();
sqlBuilder.append("select ZYName,YLName,YDY,YX,GX,ZhongYao.ZZ as ZZ from Yaolei,ZhongYao where Yaolei.YLID=ZhongYao.YLID and ZYName like '%");
sqlBuilder.append(name);
sqlBuilder.append("%'");
String sql = sqlBuilder.toString();

select ZYName,YLName,YDY,YX,GX,ZhongYao.ZZ from Yaolei,ZhongYao where Yaolei.YLID=ZhongYao.YLID and ZYName like '百部'这条语句怎么查询不出数据

这条 SQL 语句可能查询不出数据的原因有很多，可能是数据中没有匹配的记录，也可能是查询条件不正确。以下是一些可能的解决方法：

1. 检查数据是否存在：首先，您需要确保数据表中存在符合查询条件的记录。可以尝试使用类似于“SELECT * FROM Yaolei”这样的语句来查看整个表的内容，确保表中存在您正在寻找的记录。

2. 检查语法：其次，您需要确保 SQL 语句的语法正确。可以尝试在 SQL 编辑器中运行该查询语句，以检查是否存在语法错误。

3. 检查模糊查询：您的查询语句中使用了“LIKE”关键字，这表明您正在进行模糊查询。请确保查询条件正确。例如，如果您想查询“百部”开头的药材名称，应该使用“ZYName LIKE '百部%'”这样的条件，而不是“ZYName LIKE '百部'”。

4. 检查连接条件：您的查询语句中使用了“WHERE Yaolei.YLID=ZhongYao.YLID”这样的连接条件。请确保这个连接条件是正确的，并且可以正确地将两个表连接起来。

希望这些解决方法对您有帮助！