¿Cómo usar MySQL como operador en JDBC?

Question

Tengo la siguiente sintaxis en mi código, pero no funciona cuando intento usar el operador LIKE en JDBC. Trabaja muy bien de esta manera, cuando es exactamente igual:

ResultSet resultSet = statement.executeQuery("SELECT * 
               FROM drawings 
               WHERE name = '"+ DT +"'"); 

Pero si quiero usar el operador LIKE a buscar como un comodín, sigo obteniendo el error diciendo que "%" no es un carácter válido . ¿Cómo puedo usar correctamente el operador LIKE?

Answer 1

De los comentarios:

query=("SELECT * FROM drawings WHERE name LIKE '"%DT%"'"); 

Esto no compila. Suponiendo que DT es una variable, entonces es más bien debe ser similar

query = "SELECT * FROM drawings WHERE name LIKE '%" + DT + "%'"; 

(prestar atención a la sintaxis que destaca, la % tiene que ser parte de la cadena SQL!)

Sin embargo, el usuario concatenando -las variables de cadena controladas así en una consulta SQL pone puertas ancho abierto para SQL injectionSQL injectionattacks exitoso. Learn cómo usar PreparedStatement y usarlo en su lugar.

String sql = "SELECT * FROM drawings WHERE name LIKE ?"; 
// ... 
preparedStatement = connection.prepareStatement(sql); 
preparedStatement.setString(1, "%" + DT + "%"); 
resultSet = preparedStatement.executeQuery(); 
// ...