一个密码验证的问题？

Question

<%@ page contentType="text/html; charset=GBK" %>
<%@ page import="yuran.OpenDb"%>
<%@ page import="java.sql.*"%>
<%
OpenDb come=new OpenDb();
String type=request.getParameter("type");
if((type.trim()).equals("in")){
   String xm=new String(request.getParameter("yhxm").getBytes("ISO-8859-1"));
   String pw1=new String(request.getParameter("password").getBytes("ISO-8859-1"));
   String sql="select * from yhxx where yhxm='"+xm+"'";
   ResultSet rs=come.ExcuteQuery(sql);
   if(rs.next()){
      String pw2=rs.getString("password");
      if((pw2.trim()).equals(pw1)){
      out.println("yes");
      }
      else{out.println("no");}
   }
   else
   {
    out.println("none");
   }}

Answer 1

建议改为select 1 from yhxx where yhxm=? and password=?,有返回记录为真,否则为假
另:注意跟踪程序时使用if(debug) System.out.println(?);