JSP JDBC-ODBC 更新資料庫：PreparedStatement 不支援列名佔位符

問題分析

SQL UPDATE user1 SET ? = ? WHERE account = ? 中，第一個 ? 為列名（leixing 變數值），PreparedStatement 僅支援值佔位符，不支援識別符（表名、列名）。

解決方案

1. 白名單驗證 + 字串拼接列名（最簡單）：

String[] allowedColumns = {"col1", "col2", "col3"}; // 允許修改的列
String column = request.getParameter("leixing");
if (!Arrays.asList(allowedColumns).contains(column)) {
    throw new IllegalArgumentException("非法列名");
}
String sql = "UPDATE user1 SET " + column + " = ? WHERE account = ?";
PreparedStatement pst = conn.prepareStatement(sql);
pst.setString(1, ipt);
pst.setString(2, account);
pst.executeUpdate();

2. 動態構建 SQL（同樣需白名單）：

String sql = "UPDATE user1 SET " + column + " = ? WHERE account = ?";
// 其餘相同

安全警示

• 嚴禁直接拼接用戶輸入作為列名，必須經過嚴格白名單驗證，否則導致 SQL 注入（如 leixing=col1=1; DROP TABLE user1;--）。
• JDBC-ODBC 橋接器已在 Java 8 移除，建議遷移至 JDBC 原生驅動（如 com.microsoft.sqlserver.jdbc.SQLServerDriver）。