PreparedStatement的问题

Question

    Connection conn = null; 
    PreparedStatement stmt =null;//防SQL攻击
    ResultSet rs = null;         conn= DriverManager.getConnection(url,user,password);  
        stmt=conn.prepareStatement("select name,cust_id,cust_name from cust_member where id=? and password=?"); 
        String sid = request.getParameter("id").trim(); 
        String spassword = request.getParameter("password").trim(); 
        stmt.setString(1,sid);
        stmt.setString(2,spassword);
        rs=stmt.executeQuery();本来以上代码可以防SQL登录,例如用户名随意输,密码输入x' or '1'='1
但是我依然测试还可以用用户名随意输,密码输入x' or '1'='1 登录,为何?没有报错.

Answer 1

你的数据库中cust_member表结构是些什么？

Answer 2

String sql = "select id,password from cust_name where id=";if (password.equals(password)) {
//ok.
}