在SQL查询中安全地嵌入整型参数的Java实践

// 假设 inboxId 变量已经获取，例如：
int inboxId = 1234; 

// 使用字符串拼接将 inboxId 嵌入 SQL 查询
String sql2 = "select * from message where inboxId = " + inboxId; 
// 此时 sql2 的值为 "select * from message where inboxId = 1234"

// 后续执行查询
// PreparedStatement p = con.prepareStatement(sql2);
// ResultSet rs = p.executeQuery();

// 假设 inboxId 变量已经获取
int inboxId = 1234;

// 使用 String.format() 格式化 SQL 查询
String sql2 = String.format("select * from message where inboxId = %d", inboxId);
// 此时 sql2 的值为 "select * from message where inboxId = 1234"

// 后续执行查询
// PreparedStatement p = con.prepareStatement(sql2);
// ResultSet rs = p.executeQuery();

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class SqlQueryExample {

    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost/petcare";
        String password = "ParkSideRoad161997";
        String username = "root";

        Connection con = null;
        PreparedStatement p = null;
        ResultSet rs = null;

        try {
            con = DriverManager.getConnection(url, username, password);

            // 第一步：获取 inboxId
            String sql1 = "select * from inbox";
            p = con.prepareStatement(sql1);
            rs = p.executeQuery();

            int inboxId = -1; // 初始化一个默认值
            System.out.println("inboxId:");
            while (rs.next()) {
                inboxId = rs.getInt("InboxId");
                System.out.println("Retrieved inboxId: " + inboxId);
                // 在实际应用中，这里可能只会获取一个用户的 inboxId
                // 如果是多个，需要根据业务逻辑处理，例如存储到一个列表中
                break; // 假设我们只需要第一个 inboxId 进行后续查询
            }

            // 确保 rs 和 p 在下一次使用前被关闭或准备好
            if (rs != null) {
                rs.close();
            }
            if (p != null) {
                p.close();
            }

            // 第二步：使用 PreparedStatement 安全地传递 inboxId
            if (inboxId != -1) { // 只有成功获取到 inboxId 才执行后续查询
                String sql2 = "select * from message where inboxId = ?"; // 使用 ? 作为占位符
                p = con.prepareStatement(sql2);
                p.setInt(1, inboxId); // 将 inboxId 绑定到第一个占位符 (索引从1开始)

                rs = p.executeQuery();

                System.out.println("\nMessages for Inbox " + inboxId + ":");
                while (rs.next()) {
                    // 打印消息或其他相关信息
                    System.out.println("  Message ID: " + rs.getInt("messageId") + 
                                       ", Content: " + rs.getString("content")); // 假设有 messageId 和 content 列
                }
            } else {
                System.out.println("No inboxId found for querying messages.");
            }
        } catch (SQLException e) {
            System.err.println("数据库操作异常: " + e.getMessage());
            e.printStackTrace();
        } finally {
            // 确保所有资源在 finally 块中关闭，防止资源泄露
            try {
                if (rs != null) rs.close();
                if (p != null) p.close();
                if (con != null) con.close();
            } catch (SQLException e) {
                System.err.println("关闭数据库资源异常: " + e.getMessage());
            }
        }
    }
}