2

Buenas gente, estoy tratando de llenar un combobox con una consulta con inner join en java que me esta causando conflictos y no logro entenderla, me arroja el siguiente error:

introducir la descripción de la imagen aquí

Mi consulta esta construida de la siguiente forma:

     public void combobox() {
        try {
            conexion = DriverManager.getConnection("jdbc:mysql://localhost/sistema_gmg", "root", "1405");

            st = conexion.createStatement();

            String id_tutor = this.jtf_id_tutor.getText();

            rs = st.executeQuery("Select nombre_alum,ap_paterno_alum,ap_materno_alum "
                    + "from alumnos"
                    + "inner join relacion_tutor_alum"
                    + "on relacion_tutor_alum.id_alumno = alumnos.id_alumno "
                    + "where id_tutor = ''"+id_tutor+"';");

            while (rs.next()) {                                                
                this.jcb_alumno.addItem(rs.getString(1) + " " + rs.getString(2) + " " + rs.getString(3));
            }

        } catch (SQLException err) {

            JOptionPane.showMessageDialog(null, "Error " + err.getMessage());

        }
    }
10
  • 2
    En where id_tutor te falta escribir a que tabla pertenece id_tutor algo como relacion_tutor_alum.id_tutor, igual en la parte después de select, a que tabla pertenece cada campo, en caso de que coincida el nombre de un campo en ambas tablas. Commented el 1 ago. 2017 a las 0:14
  • 2
    Tienes dos comillas simples juntas en tu condicion del where. Ademas, ExecuteQuery es un método para ejecutar una única consulta del tipo select, por ende no solo no es necesario indicar el final de la sentencia con ";" sino que en varios drivers obtendrás excepciones por errores de sintaxis. Commented el 1 ago. 2017 a las 0:15
  • Muchas gracias por su ayuda, y me podría decir que método el indicado para realizar la consulta? Commented el 1 ago. 2017 a las 0:29
  • Imprime el String que intentas ejecutar por consola y verás que tiene varios errores sintácticos. Puedes intentar ejecutarlo directamente en la consola mysql para ver qué pasa.
    – SJuan76
    Commented el 1 ago. 2017 a las 0:34
  • 2
    Miguel, executeQuery es el metodo indicado para realizar la consulta, lo incorrecto es terminar la sentencia con ";" utilizando este método. Commented el 1 ago. 2017 a las 0:35

1 respuesta 1

5

Tu código, aparte del error de sintaxis mencionado en los comentarios, presenta un serio error de seguridad no visible a simple vista. Dicho error abre una brecha a lo que se conoce como Inyección SQL.

Imaginemos que la variable donde recoges el valor de id_tutor se encuentra en un formulario y un usuario mal intencionado escribe esto: 1; DROP TABLE alumnos; --

Cuando pasas la consulta directamente a la base de datos, se borraría completamente tu tabla alumnos. Si la misma tiene miles o millones de registros, estaríamos hablando de una verdadera catástrofe.

Cosas más grave podrían ocurrir cuando dejamos una puerta abierta a la inyección de código. Te podrían borrar todas las tablas de la BD concatenando o peor aún, cambiar contraseñas y tomar el control de la BD para luego alterar los datos: 1; DROP TABLE alumnos; DROP TABLE otra-tabla; DROP TABLE oootra-tabla; DROP TABLE ooooootra-tabla; UPDATE administradores SET password="otraclave" WHERE name="admin"; --

Un agujero de seguridad como ese sería el sueño de un alumno suspendido :) para poder alterar los resultados. Pero si se trata de una BD de una entidad bancaria, podrías terminar en la cárcel :( si un empleado de nivel inferior logra alterar cuentas debido a que la seguridad del sistema ha dejado abiertas este tipo de puertas.

Por eso, siempre que se recojan datos desde el exterior, la práctica correcta es usar consultas preparadas.

He aquí un ejemplo:

public void combobox() {
    try {
            conexion = DriverManager.getConnection("jdbc:mysql://localhost/sistema_gmg", "root", "1405");

            PreparedStatement preparedStatement = null;

            String strSQL = "Select nombre_alum, ap_paterno_alum, ap_materno_alum "
                + "from alumnos "
                + "inner join relacion_tutor_alum "
                + "on relacion_tutor_alum.id_alumno = alumnos.id_alumno "
                + "where id_tutor = ?";

            //Conviene convertir este dato a entero, si es del tipo INT en la BD
            String id_tutor = this.jtf_id_tutor.getText();


            preparedStatement = conexion.prepareStatement(strSQL);

            //Suponemos que id_tutor es del tipo int en la tabla, de ahí setInt
            preparedStatement.setInt(1, id_tutor);

            // Ejecutamos
            ResultSet rs = preparedStatement.executeQuery();

            while (rs.next()) {

                this.jcb_alumno.addItem(rs.getString(1) + " " + rs.getString(2) + " " + rs.getString(3));

                }

    } catch (SQLException err) {

        JOptionPane.showMessageDialog(null, "Error " + err.getMessage());

    //Conviene cerrar los recursos si el caso lo amerita
    } finally {

        if (preparedStatement != null) {
            preparedStatement.close();
        }

        if (conexion != null) {
            conexion.close();
        }
    }
}

Para más detalles sobre las consultas preparadas puedes consultar la documentación de Java, así como algunas preguntas de SO en español que tratan sobre el tema.

1
  • Gracias por tu tiempo y tu ayuda A. Cedano, lo tomaré en cuenta para realizar mis futuras consultas. Me ha ayudado mucho su respuesta. Commented el 1 ago. 2017 a las 12:25

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.