（写在最初：如果还不明白db.update方法的四个参数的具体解释，请查看源码或baidu，文章不少）
最初使用update是这样写的
SQLiteDatabase db = DatabaseHelper.getWdb();
String str_time = TimeUtils.getStrTime("" + b.getInput_content().getCreated(), "yyyy-MM-dd HH:mm:ss");
String tid = b.getInput_content().getId();
MyLog.e("resetTalkInfo str_time = " + str_time + " tid = " + tid);
StringBuilder buf = new StringBuilder();
buf.append("UPDATE " + DatabaseSchema.TABLE_TALKS.NAME);
buf.append(" SET " + DatabaseSchema.TABLE_TALKS.COLUMN_TID);
buf.append(" = '#" + tid + "', ");
buf.append(DatabaseSchema.TABLE_TALKS.COLUMN_CREATED);
buf.append(" = '" + str_time + "'");
buf.append(" WHERE " + DatabaseSchema.TABLE_TALKS.COLUMN_TID);
buf.append(" = '#100'");
buf.append(" AND " + DatabaseSchema.TABLE_TALKS.COLUMN_STORAGEID);
buf.append(" = '" + b.getStorage_id() + "'");
db.execSQL(buf.toString());
db.close();
这样写是没问题的，自行拼接sql语句，然后用execSQL执行
但这样有一个潜在的风险，execSQL方法并不区分具体要做什么，只是执行语句，所以有被注入的风险。（详见《阿里巴巴Android开发手册》六-9）
QQ截图20190524151158.png
因此决定改用db.update(String table, ContentValues values, String whereClause, String[] whereArgs)方法，问题来了，各种攻略给出的写法类似
ContentValues cv = new ContentValues();
cv.put("username", "c");
cv.put("password", "d");
String[] args = {String.valueOf("a")};
update("user",cv, "username=?",args)
这样，找了很久都没找到如何将where写入多条件的方法，于是自己各种尝试....(具体尝试的过程就不放出来了，都是反面教材)
这里将正确的两种写法给出来供大家参考：
1：
SQLiteDatabase db = DatabaseHelper.getWdb();
String str_time = TimeUtils.getStrTime("" + b.getInput_content().getCreated(), "yyyy-MM-dd HH:mm:ss");
String tid = b.getInput_content().getId();
MyLog.e("resetTalkInfo str_time = " + str_time + " tid = " + tid);
ContentValues values = new ContentValues();
values.put(DatabaseSchema.TABLE_TALKS.COLUMN_TID, "#" + tid);
values.put(DatabaseSchema.TABLE_TALKS.COLUMN_CREATED, str_time);
String whereClause = DatabaseSchema.TABLE_TALKS.COLUMN_TID + "='#100' AND " + DatabaseSchema.TABLE_TALKS.COLUMN_STORAGEID + "='" + b
.getStorage_id() + "'";
db.update(DatabaseSchema.TABLE_TALKS.NAME, values, whereClause, null);
db.close();
这种方法不传入args，将所有条件拼在whereClause 字段中，作为update的第三个参数，这种方法虽然可以正确执行，但是感觉没有用上args，血统不纯正
2：
SQLiteDatabase db = DatabaseHelper.getWdb();
String str_time = TimeUtils.getStrTime("" + b.getInput_content().getCreated(), "yyyy-MM-dd HH:mm:ss");
String tid = b.getInput_content().getId();
MyLog.e("resetTalkInfo str_time = " + str_time + " tid = " + tid);
ContentValues values1 = new ContentValues();
values1.put(DatabaseSchema.TABLE_TALKS.COLUMN_TID, "#" + tid);
values1.put(DatabaseSchema.TABLE_TALKS.COLUMN_CREATED, str_time);
String[] whereArgs1 = {"#100", b.getStorage_id()};
String whereClause1 = DatabaseSchema.TABLE_TALKS.COLUMN_TID + "=? AND " + DatabaseSchema.TABLE_TALKS.COLUMN_STORAGEID + "=?";
db.update(DatabaseSchema.TABLE_TALKS.NAME, values1, whereClause1, whereArgs1);
db.close();
这种写法，将args拼入whereClause1 的？中，应该与官方例子的思路一致，建议大家用第二种方法。
同理，db的select（query）、delete的写法也与例子中给出的写法相同。
以上 by：Miyok
