常见漏洞

class ValueChangedView extends LitElement {
  render() {
    return html`
      <vaadin-text-field label="Your name" @value-changed="${this.nameChanged}"></vaadin-text-field>
    `;
  }

  private nameChanged(event: CustomEvent) {
    nameEndpoint.updateName(event.detail.value)
  }
}

@Endpoint
public class NameEndpoint {
    public void updateName(String value) {
        // 这是正确的方法
        String sql = "UPDATE app_users WHERE id=? SET name=?";

        try {
            // 使用预处理语句安全地调用数据库
            PreparedStatement ps = dbConnection.prepareStatement(sql);

            ps.setLong(1, user.getId());
            ps.setString(2, value);
            ps.executeUpdate();
        } catch (SQLException e) {
            throw new RuntimeException(e);
        }

        // 以下是不正确的方法，请勿使用！
        // sql = "UPDATE app_users WHERE id="+ user.getId() +" SET name=\"" + value +
        // "\"";
    }
}