从数据库中搜索相关标准答案

【问题标题】：Searching dependent criterias from database从数据库中搜索相关标准
【发布时间】：2017-05-16 14:43:41
【问题描述】：

您好，我正在编写一个代码，人们可以使用 jsp 从数据库中搜索活动。当我执行程序时，我可以成功地根据类型、描述、位置、城市和日期进行搜索。我可以在页面上看到数据。但是当我填写两个或三个标准等时，程序运行得不是很好。例如，如果我填写类型为 'Music' 和 city 为 'Istanbul' ，程序会找到所有音乐活动和伊斯坦布尔的所有活动。我认为我的 sql 查询是错误的。如果我将查询更改为 OR，我必须填写所有字段。否则它将返回空表。但是用户可以填写两个标准或三个标准等。这取决于用户。如果用户填写类型为“音乐”，城市填写为“伊斯坦布尔”，则 proram 必须仅显示伊斯坦布尔的音乐活动。我该如何解决？什么是正确的代码？

search.jsp

<%@page contentType="text/html" pageEncoding="UTF-8"%>
<%@ page import ="java.sql.*" %>




<!DOCTYPE html>
<html>
<body background="http://www.teamarking.com/barcode/bar_background.jpg"> 
    <form method="post" action="reservations.jsp">

        <head>
            <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <title>Book Ticket</title>
    </head>

    <center>    
        <table border="1" width="30%" height="30%">
            <th><font color='#D18603'>id</font>
            <th><font color='#D18603'>Type</font></th>
            <th><font color='#D18603'>Description</font></th>
            <th><font color='#D18603'>City</font></th>
            <th><font color='#D18603'>Location</font></th>
            <th><font color='#D18603'>Date</font></th>
            <th><font color='#D18603'>Price</font></th>
            <th><font color='#D18603'>Time</font></th>

            <th><font color='#D18603'>Buy</font>





                <%
                    Class.forName("org.apache.derby.jdbc.ClientDriver").newInstance();
                    Connection con = DriverManager.getConnection("jdbc:derby://localhost:1527/users", "users", "123");

                    Statement st = con.createStatement();
                    ResultSet rs;

                    PreparedStatement ps = con.prepareStatement("select * from activities where type=? OR description=? OR city=? OR  location=? OR date=? OR time=?");
                    ps.setString(1, request.getParameter("type"));
                    ps.setString(2, request.getParameter("description"));
                    ps.setString(3, request.getParameter("city"));
                    ps.setString(4, request.getParameter("location"));
                    ps.setString(5, request.getParameter("date"));
                    ps.setString(6, request.getParameter("time"));

                    rs = ps.executeQuery();
                    while (rs.next()) {

                        out.println("<tr>");
                        out.println("<form action='reservations.jsp'>");
                        out.println("<td>" + rs.getString("id") + "<input type='hidden' name='id' value='" + rs.getString("id") + "'></td>");
                        out.println("<td>" + rs.getString("type") + "<input type='hidden' name='type' value='" + rs.getString("type") + "'></td>");
                        out.println("<td>" + rs.getString("description") + "<input type='hidden' name='description' value='" + rs.getString("description") + "'></td>");
                        out.println("<td>" + rs.getString("city") + "<input type='hidden' name='city' value='" + rs.getString("city") + "'></td>");
                        out.println("<td>" + rs.getString("location") + "<input type='hidden' name='location' value='" + rs.getString("location") + "'></td>");
                        out.println("<td>" + rs.getString("date") + "<input type='hidden' name='date' value='" + rs.getString("date") + "'></td>");
                        out.println("<td>" + rs.getString("price") + "<input type='hidden' name='price' value='" + rs.getString("price") + "'></td>");
                        out.println("<td>" + rs.getString("time") + "<input type='hidden' name='time' value='" + rs.getString("time") + "'></td>");

                        out.println("<td><b><form action='reservations.jsp'><select name='buy'><option value='1'>1</option><option value='2'>2</option><option value='3'>3</option><option value='4'>4</option><option value='5'>5</option></select><input type='submit' value='Submit'></form></b>");

                        out.println("</tr>");

                    }
                    st.close();

                %>


                </center>
        </table>

        <br>  <br><a href='success.jsp'>Back</a>
        <br><br><a href='logout.jsp'>Log out</a>
</form>
</body>
</html>

【问题讨论】：

标签： java mysql jsp

【解决方案1】：

你想像这样动态创建 sql：

String type = request.getParameter("type");
String description = request.getParameter("description");
String city = request.getParameter("city");
String location = request.getParameter("location");
String date = request.getParameter("date");
String time = request.getParameter("time");

// Check all the parameters for potential SQL injection attack here

StringBuilder sql = new StringBuilder("Select * from activities where 1 = 1");
if(type != null && type.trim().length() != 0)
    sql.append(" and type = '").append(type).append("'");
if(description != null && description.trim().length() != 0)
    sql.append(" and description = '").append(description).append("'");
if(city != null && city.trim().length() != 0)
    sql.append(" and city = '").append(city).append("'");
if(location != null && location.trim().length() != 0)
    sql.append(" and location = '").append(location).append("'");
if(date != null && date.trim().length() != 0)
    sql.append(" and date = '").append(date).append("'");
if(time != null && time.trim().length() != 0)
    sql.append(" and time= '").append(time).append("'");

Statement st = conn.createStatement();
ResultSet rs = st.executeQuery(sql.toString());

【讨论】：

当我像你说的那样执行时，它会返回 emoty 表 @GurwinderSingh
理想情况下它应该可以工作。最可能的原因是数据，尽管我不能确定。您为什么不在问题中发布一些示例数据以及您期望从中获得什么输出。
我写道。例如，如果用户输入类型为“音乐”音乐数据，如果用户输入城市为伊斯坦布尔。伊斯坦布尔的活动应该来了。现在它正在工作，但是当用户同时输入音乐和伊斯坦布尔时，其他城市的其他活动即将到来
你能帮我解决我的问题吗
我必须填写算法中的所有字段。但是我希望该用户只能填写一个字段或两个字段。为了运行您的代码，用户必须填写所有字段