동적 쿼리 like 처리

올바르지 않은 방법

이유 : SQL Injection의 위험이 있음. 

String sql = "SELECT * " +
	" FROM board " +
	" WHERE title LIKE ? ";

pstmt.setString(1, "%"+search+"%");

올바른 방법

순수하게 인자만 넘어와야 한다.

String sql = "SELECT * " +
	" FROM board " +
	" WHERE title LIKE CONCAT('%', ?, '%') ";
   
pstmt.setString(1, "%"+search+"%");