Javaでのデータベース操作とPreparedStatementの基礎

package dbsample; // このクラスが所属するパッケージ名

import java.sql.Connection;            // データベース接続を表すクラス
import java.sql.DriverManager;         // データベース接続を管理するクラス
import java.sql.PreparedStatement;     // プリコンパイル済みのSQL文を実行するクラス
import java.sql.ResultSet;             // SQLの実行結果を格納するクラス
import java.sql.SQLException;          // SQL関連のエラー処理を行うクラス
import java.util.Scanner;              // ユーザー入力を取得するためのクラス

public class DBSample { // データベースサンプルプログラムの開始

    public static void main(String[] args) { // プログラムのメインメソッド
        // データベース接続用変数
        Connection conn = null; // データベース接続を保持する変数を初期化
        
        // ステートメント実行用変数
        PreparedStatement stmt = null; // プリコンパイル済みSQL文の実行変数を初期化
        
        try {
            // Oracle JDBCドライバのロード（JDBCドライバを使用可能にする）
            Class.forName("oracle.jdbc.driver.OracleDriver"); // JDBCドライバを読み込み
            
            // DBに接続（データベースURL、ユーザー名、パスワードを指定）
            conn = DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:orcl", "USER_NAME", "PASSWORD"); // データベースに接続
            
            // ユーザー入力を取得するための準備
            Scanner sc = new Scanner(System.in); // ユーザー入力を受け取るスキャナーを作成
            System.out.print("検索したい商品名を入力してください："); // ユーザーに商品名を入力させるプロンプトを表示
            String name = sc.next(); // ユーザーが入力した商品名を変数nameに格納
            
            // プレースホルダーを使ったSQL文を準備
            String sql = "SELECT * FROM ITEM_TABLE WHERE ITEM_NAME = ? ORDER BY ITEM_NO"; // 商品名を条件にしてデータを取得するSQL文
            
            // SQLをプリコンパイル（事前に準備しておく）
            stmt = conn.prepareStatement(sql); // SQL文をプリコンパイルして準備
            stmt.setString(1, name); // SQL文の最初の?に、ユーザーが入力した商品名を設定
            
            // SQLの実行
            ResultSet rs = stmt.executeQuery(); // SQLを実行して結果セットを取得
            
            // 結果の取得と表示
            while (rs.next()) { // 取得した結果を1行ずつ処理
                System.out.println(rs.getString("ITEM_NAME")); // "ITEM_NAME"列の値を取得して表示
            }
            
            // 結果セットをクローズ（リソース解放）
            rs.close(); // 結果セットを閉じ、リソースを解放
        } catch (SQLException | ClassNotFoundException e) { // SQL実行やクラスロードでエラーが発生した場合
            e.printStackTrace(); // エラーの詳細を表示
        } finally { // エラーの有無に関わらず、最後に実行されるブロック
            // リソースの解放
            try {
                // ステートメントがある場合はクローズ
                if (stmt != null) { // ステートメントが開かれている場合
                    stmt.close(); // ステートメントを閉じ、リソースを解放
                }
                // データベース接続がある場合はクローズ
                if (conn != null) { // データベース接続が確立されている場合
                    conn.close(); // データベース接続を閉じ、リソースを解放
                }
            } catch (SQLException e) { // リソース解放中にエラーが発生した場合
                e.printStackTrace(); // エラーの詳細を表示
            }
        }
    }
}

String sql = "SELECT * FROM ITEM_TABLE WHERE ITEM_NAME = ?";<br>PreparedStatement stmt = conn.prepareStatement(sql);<br>stmt.setString(1, "Apple"); // 1つ目の ? に "Apple" を設定

String userInput = "Apple' OR '1'='1";<br>String sql = "SELECT * FROM ITEM_TABLE WHERE ITEM_NAME = '" + userInput + "'";<br>Statement stmt = conn.createStatement();<br>ResultSet rs = stmt.executeQuery(sql); // SQLインジェクションのリスクがある