项目中sql拼接的问题？？？？？

Question

select *

from 不确定表名，表名是前端发过来的

where 不确定有几个条件，可能是一个，也可能是多个，还可能没有

条件的字段名和属性都是未知的

比如

where id like '%5%' and name like '%王%'

其中id和5都是前端发过来的 我用HttpServletRequest进行接收

我用的是whereSql进行拼接的实现

有没有办法不用拼接的

如果没有那怎么防sql注入

Answer 1

用参数啊。别用字符串拼接的方法写