java预处理

Question

请问下update departmenttbl set departmentName=?,introduction=? where id='"+id1+"' sql语句可不可以在where后面那样写，而不这样写where id=？ 

Answer 1

只有在值不便直接写在SQL中时,如二进制数据、长文本、包含特殊字符等情况下，才用到SQL参数，平时完全可以通过拼SQL语句实现你想要的功能。

Answer 2

这样写是可以的，在语法上没有任何错误。但据说这样写的话可能会比较容易遭sql注入攻击。。因此，还是用where id = ?然后再set这个值比较好。。个人看法，希望对lz有用。