Не удается удалить базу данных формы SQLGrammarException

Question

Я хочу УДАЛИТЬ столбец из базы в спящем режиме, где мой вставленный параметр -regBroj - тот же, что и в базе.

Это мой метод в контроллере для deleting.But я постоянно получать SQLGrammarException: Вызванный: com.mysql.jdbc.exceptions.jdbc4.MySQLSyntaxErrorException: Неизвестный столбец «BG026CH» в «где предложение»

Этот «BG026CH» является значением regBroj, который я использую в качестве параметра, чтобы найти транспортное средство в базе данных и удалить его. И я вставляю его в текстовую область в adminPage.

public String izbrisi(String regBroj) { 
    List<Vozilo> lista = listaj(); 
     Session s = HibernateUtil.getSessionFactory().getCurrentSession(); 
     Transaction t = s.beginTransaction(); 

     for (int i = 0; i < lista.size(); i++) { 
      if (regBroj .equals(lista.get(i).getRegBroj())) { 
       String izbrisiquery = "DELETE FROM Korisnik WHERE brojLk=" + regBroj + ""; 
       Query q = s.createQuery(izbrisiquery); 
       int a = q.executeUpdate(); 
       t.commit(); 
       return "adminPage"; 
      } 
     } 
     t.commit(); 
     return "error"; 


    } 

Answer 1

Пожалуйста, замените ниже строки с этим один

String izbrisiquery = "DELETE FROM Korisnik WHERE brojLk='" + regBroj + "'"; 

Answer 2

Вы должны рассмотреть возможность использования подготовленных инструкций, потому что они будут автоматически заботиться о спасаясь значения поля в кавычках, и они также будут защищать вас от инъекции SQL.

// obtain a Connection object using your Hibernate session, or through some other means 
Connection conn = getDBConnection(); 

for (int i = 0; i < lista.size(); i++) { 
    if (regBroj .equals(lista.get(i).getRegBroj())) { 
     String izbrisiquery = "DELETE FROM Korisnik WHERE brojLk = ?"; 
     PreparedStatement ps = conn.prepareStatement(izbrisiquery); 
     ps.setString(1, regBroj); 
     ps.executeUpdate(); 
     t.commit(); 

     return "adminPage"; 
    } 
} 

Чтобы увидеть, как SQL инъекции работает, или как злоумышленник может разрушить Korisnik таблицу, представьте себе, что кто-то взламывает интерфейс передать значение '' OR TRUE для brojLK. Это то, что в результате DELETE оператор будет выглядеть следующим образом:

DELETE FROM Korisnik WHERE brojLk = '' OR TRUE 

Другими словами, этот впрыскивается запрос будет падать весь стол! Подготовленные утверждения задушили бы этот ввод, и хакер не смог бы доработать запрос.