2

Pego el código y consulto desde él, ya que paso el campo de la base de datos desde un combo y el valor, el campo no lo coge, el valor sí. ¿Qué ocurre?

public ObservableList<Categoria> buscarCategoriaPorSeleccion(
    String campo, String valor
) throws SQLException {

    // Declaro los elemntos
    PreparedStatement st = null;
    ResultSet rs = null;
    ObservableList<Categoria> listaCategoria = FXCollections.observableArrayList();
    Categoria categoria = null;

    // Conecto con la base de datos
    conectar();
    try {
        st = this.conexion.prepareStatement("SELECT * FROM categoria WHERE ? LIKE ?");

        // Esto no funciona, si meto la variable en la query si lo hace, 
        st.setString(1, campo);

        // Esto sin problema
        st.setString(2, "%" + valor + "%");

        rs = st.executeQuery();

        while (rs.next()) {
            categoria = new Categoria();
            categoria.setIdCategoria(rs.getInt("categoria_id"));
            categoria.setNombreCategoria(rs.getString("categoria_nombre"));
            categoria.setDescripcionCategoria(rs.getString("categoria_descripcion"));
            listaCategoria.add(categoria);
        }

    } catch (SQLException e) {
        mensaje.error("Error SQL " + e);
    } finally {
        if (rs != null) {
            try {
                rs.close();
            } catch (SQLException e) {
                mensaje.error("Error SQL " + e);
            }
        }

        if (st != null) {
            try {
                st.close();
            } catch (SQLException e) {
                mensaje.error("Error SQL " + e);
            }
        }
    }
    // Desconecto de la base de datos
    desconectar();

    // Devuelvo la lista
    return listaCategoria;
}

Es decir, solo funcionaria así: SELECT * FROM categoria WHERE "+ campo +" LIKE ?.

1
  • st.setString(1, campo); ¿qué valor tiene la variable campo, es el nombre de una columna existente y válida de tu tabla? el 22 mar. 2017 a las 19:56

2 respuestas 2

2

Puedes usar PreparedStatement para asignar valores, pero no nombres de columna. Por lo tanto primero tendrás que construir la consulta SQL tu mismo (como haces en el código que has mostrado) y luego usar PreparedStatement para asignar los valores.

1
  • 1
    Era lo que me imaginaba, pero no daba con la explicación. Muchas gracias por la aclaración.
    – Maurikius
    el 22 mar. 2017 a las 21:36
2

En la lógica del prepared statement los ? se remplazan por los varores en forma segura (escapado y todo), y por lo mismo el remplazo no funciona para nombres de campos.

Te recomiendo de armar tu consulta así:

if (validar(campo)){
    String query = String.format("SELECT * FROM categoria WHERE %s LIKE ?",campo);
        conectar();
    try {
        st = this.conexion.prepareStatement(query);
        st.setString(1, "%" + valor + "%"); // Esto sin problema 
        rs = st.executeQuery();
        // ...
}

// deberías validar los nombres del campo permitidos, por ejemplo:
private boolean validar(String campo){
    return campo.matches("^categoria_(nombre|descripcion)$");
}
1
  • 1
    Muchas gracias por la alternativa, la duda me surgió, porque estaba limpiando un poco de código, y quería declarar las queries como variables al inicio de la clase, ya que en este DAO en concreto tengo muchos métodos y a la hora de corregir o reemplazar selecciono ese trozo de código tenerlo mas concentrado.
    – Maurikius
    el 22 mar. 2017 a las 21:40

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.