0
"UPDATE usuarios SET Telefono= "+tel+", Domicilio= "+dom+", Contraseña= "+contra+" WHERE Id="+id;

Esta es la sentencia que utilizo al momento de actualizar la base de datos, los datos de las columnas y su nombre son correctos pero me manda el siguiente error

com.mysql.jdbc.exceptions.jdbc4.mysqlsyntaxerrorexception: you have an error in your sql syntax; check the manual that correcponds to your MariaDB server version

Gracias de antemano

1
  • Ya probaste agregando entre ' ' a las variables de tipo string que estás concatenando. Ejemplo: Telefono= '"+tel+" ' ,
    – Gibrán
    el 27 oct. 2017 a las 17:16

3 respuestas 3

4

Las columnas que son tipo texto, al asignar valores, tienen que ir entre comillas simples (' '). Mientras que las columnas que son tipo númerico, no necesitan comillas.

Suponiendo que las columnas Telefono, Domicilio y Contraseña son tipo texto

"UPDATE usuarios SET Telefono= '"+tel+"', Domicilio= '"+dom+"', Contraseña= '"+contra+"' WHERE Id="+id;

Si fuese el caso de que Domicilio fuese de tipo númerico

"UPDATE usuarios SET Telefono= '"+tel+"', Domicilio= "+dom+", Contraseña= '"+contra+"' WHERE Id="+id;

Id supongo que lo tienes en auto-incremento (ya se convierte en numerico), pero si el caso no fuese asi... ya sabes la regla. (' ')

2
  • Te me adelantaste LoL, muy ágil por tu parte. el 27 oct. 2017 a las 17:18
  • Jajajaaj es que estaba muy fácil Lmao @DazzelWazzel
    – TwoDent
    el 27 oct. 2017 a las 17:19
1

I. Hay un error grave de seguridad

Nosotros insistimos mucho sobre el problema de la Inyeccción SQL cuando hablamos de PHP, pero la Inyección SQL es un peligro latente también en Java o en cualquier otro lenguaje de programación.

Si cualquiera de los valores que se usan en esta consulta son tomados de una fuente externa estamos ante un código vulnerable:

"UPDATE usuarios SET 
    Telefono= '"+tel+"', 
    Domicilio= '"+dom+"', 
    Contraseña= '"+contra+"' 
WHERE Id="+id;

¿Por qué esta consulta es vulnerable? Supongamos que el valor id es tomado de un TextField o de otra fuente externa y un usuario mal intencionado escribe esto:

1; DELETE FROM usuarios;

¡No pruebes el código anterior! Estaríamos enviando dos consultas la nuestra del UPDATE con el valor id=1 y otra consulta que borraría toda la tabla usuarios. Y esa es una de las inyecciones menos malas... ya que las hay peores.

II. Resolviendo el problema con código seguro

Para estos casos Java recomienda usar consultas preparadas.

De hecho, la documentación de Java tiene un tutorial (casi) muy completo sobre el tema.

  1. Creamos nuestra consulta, pero sin poner los valores en ella directamente. Ahí está precisamente el problema de la Inyección:

    String strSQL= "UPDATE usuarios SET 
        Telefono= ?, 
        Domicilio= ?, 
        Contraseña= ?  //No usaría la ñ en nombres de columnas
    WHERE Id= ?";
    

    Como podemos ver, los valores son sustituidos por signos de ?. Con PreparedStatement lo que hacemos es delegar en el DBMS la preparación de la consulta.

  2. Creamos nuestra variable de tipo PreparedStatement:

    PreparedStatement ps = null;
    
  3. Ahora invocamos el método prepareStatement del objeto de conexión a la base de datos (en este ejemplo el objeto de conexión se llamaría con) y le pasamos la cadena de la consulta creada más arriba.

    ps = con.prepareStatement(strSQL);
    
  4. Ahora en ps nosotros tenemos por decirlo así un objeto PreparedStatement activo en la conexión que está esperando que le pasemos los parámetros. Es aquí donde por cada ? de la consulta anterior nosotros debemos pasar un valor. Los métodos setInt, setString sirven para indicar de qué tipo es ese dado en la base de datos. Y el número, empezando por el 1 indica el orden en que aparece cada valor en strSQL:

    ps.setString(1,tel);
    ps.setString(2,dom);
    ps.setString(3,contra);
    ps.setInt(4,id);
    
  5. Ya que está todo preparado, ejecutamos:

    int intTotal = ps.executeUpdate();
    

    Dado que executeUpdate() devolvería en este caso la totalidad de registros actualizados, podemos almacenarlo en una variable (intTotal) por si queremos ser informados sobre la cantidad de registros que se actualizaron.

De esa forma tenemos un código seguro y escrito según recomienda la documentación.

Las consultas preparadas tienen otras ventajas, como la reutilización del ps para enviar más consultas, etc. Es importante aprender su uso.

0

Dice que tienes un error en la sentencia, comprueba que los campos son todos correctos, es decir, que está bien escrito todo. Comprueba que el ID es un INT y sobre todo RECUERDA que los varchars como pueden ser domicilio deben llevar comillas. Estoy seguro que debe de ser por las comillas por que ya habras comprobado los campos y demás asi que donde tengas Varchars pon las comillas simples " ' ", por ejemplo así.

"UPDATE usuarios SET Telefono= '"+tel+"', Domicilio= '"+dom+"', Contraseña= '"+contra+"' WHERE Id="+id;

Saludos.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.