วิธีใช้ Parameterized SQL Query ใน JSP ด้วย sql:param

แท็ก <sql:param> ใช้เป็น nested action ใน <sql:query> และ <sql:update> เพื่อส่งค่าพารามิเตอร์ไปยัง Placeholder (?) ใน SQL ป้องกัน SQL Injection ได้อย่างมีประสิทธิภาพ

แอตทริบิวต์ของ <sql:param>

หากส่งค่า null จะตั้งค่าเป็น SQL NULL ให้อัตโนมัติ

ตัวอย่าง: ลบข้อมูลด้วย Parameterized DELETE

สร้างตาราง Employees และข้อมูล

mysql> use TEST;
mysql> create table Employees (id int not null, age int not null, first varchar(255), last varchar(255));
mysql> INSERT INTO Employees VALUES (100, 18, 'Zara', 'Ali');
mysql> INSERT INTO Employees VALUES (101, 25, 'Mahnaz', 'Fatma');
mysql> INSERT INTO Employees VALUES (102, 30, 'Zaid', 'Khan');
mysql> INSERT INTO Employees VALUES (103, 28, 'Sumit', 'Mittal');

JSP ใช้ sql:param กับ DELETE

<%@ page import="java.io.*,java.util.*,java.sql.*" %>
<%@ page import="javax.servlet.http.*,javax.servlet.*" %>
<%@ taglib uri="https://java.sun.com/jsp/jstl/core" prefix="c" %>
<%@ taglib uri="https://java.sun.com/jsp/jstl/sql" prefix="sql" %>
<html>
<head>
<title>JSTL sql:param Tag</title>
</head>
<body>
<sql:setDataSource var="snapshot" driver="com.mysql.jdbc.Driver"
    url="jdbc:mysql://localhost/TEST" user="root" password="pass123"/>
<c:set var="empId" value="103"/>
<sql:update dataSource="${snapshot}" var="count">
    DELETE FROM Employees WHERE Id = ?
    <sql:param value="${empId}" />
</sql:update>
<sql:query dataSource="${snapshot}" var="result">
    SELECT * from Employees;
</sql:query>
<table border="1" width="100%">
    <tr><th>Emp ID</th><th>First Name</th><th>Last Name</th><th>Age</th></tr>
    <c:forEach var="row" items="${result.rows}">
    <tr>
        <td><c:out value="${row.id}"/></td>
        <td><c:out value="${row.first}"/></td>
        <td><c:out value="${row.last}"/></td>
        <td><c:out value="${row.age}"/></td>
    </tr>
    </c:forEach>
</table>
</body>
</html>

ผลลัพธ์

+-------------+----------------+-----------------+-----------------+
| Emp ID      | First Name     | Last Name       | Age             |
+-------------+----------------+-----------------+-----------------+
| 100         | Zara           | Ali             | 18              |
| 101         | Mahnaz         | Fatma           | 25              |
| 102         | Zaid           | Khan            | 30              |
+-------------+----------------+-----------------+-----------------+

ระเบียน ID 103 ถูกลบออกแล้ว

สามารถใช้กับ UPDATE และ SELECT ได้เช่นกัน วิธีการเหมือนกัน เพียงเปลี่ยนคำสั่ง SQL