企业开发基础-JDBC（SQL注入）

JDBC概论

1、JDBC是什么？
    Java DataBase Connectivity（Java语言连接数据库）

2、JDBC的本质是什么？
    JDBC是SUN公司制定的一套接口（interface）
        java.sql.*; (这个软件包下有很多接口。)

    接口都有调用者和实现者。
    面向接口调用、面向接口写实现类，这都属于面向接口编程。

    为什么要面向接口编程？
        解耦合：降低程序的耦合度，提高程序的扩展力。
        多态机制就是非常典型的：面向抽象编程。（不要面向具体编程）
            建议：
                Animal a = new Cat();
                Animal a = new Dog();
                // 喂养的方法
                public void feed(Animal a){ // 面向父类型编程。
                
                }
            不建议：
                Dog d = new Dog();
                Cat c = new Cat();
    
    思考：为什么SUN制定一套JDBC接口呢？
        因为每一个数据库的底层实现原理都不一样。
        Oracle数据库有自己的原理。0
        MySQL数据库也有自己的原理。
        MS SqlServer数据库也有自己的原理。
        ....
        每一个数据库产品都有自己独特的实现原理。
    
    JDBC的本质到底是什么？
        一套接口。

3、JDBC开发前的准备工作，先从官网下载对应的驱动jar包，然后将其配置到环境变量classpath当中。

    classpath=.;D:\course\06-JDBC\resources\MySql Connector Java 5.1.23\mysql-connector-java-5.1.23-bin.jar

    以上的配置是针对于文本编辑器的方式开发，使用IDEA工具的时候，不需要配置以上的环境变量。
    IDEA有自己的配置方式。
     

4、JDBC编程六步（需要背会）
    
    第一步：注册驱动（作用：告诉Java程序，即将要连接的是哪个品牌的数据库）

    第二步：获取连接（表示JVM的进程和数据库进程之间的通道打开了，这属于进程之间的通信，重量级的，使用完之后一定要关闭通道。）

    第三步：获取数据库操作对象（专门执行sql语句的对象）

    第四步：执行SQL语句（DQL DML....）

    第五步：处理查询结果集（只有当第四步执行的是select语句的时候，才有这第五步处理查询结果集。）

    第六步：释放资源（使用完资源之后一定要关闭资源。Java和数据库属于进程间的通信，开启之后一定要关闭。）

程序运行

DML语句

​
/*
	JDBC编程基础六步
*/
import java.sql.Driver;
import java.sql.DriverManager;
import java.sql.SQLException;
import java.sql.Connection;
import java.sql.Statement;

public class JDBCTest01{
	public static void main(String[] args){
		Connection conn = null;
		Statement stmt = null;
		try{
			//1、注册驱动
			Driver driver = new com.mysql.jdbc.Driver(); // 多态，父类型引用指向子类型对象。
			// Driver driver = new oracle.jdbc.driver.OracleDriver(); // oracle的驱动。
			DriverManager.registerDriver(driver);
			//2、获取连接
			/*
				url：统一资源定位符（网络中某个资源的绝对路径）
				https://www.baidu.com/ 这就是URL。
				URL包括哪几部分？
					协议
					IP
					PORT
					资源名

				http://182.61.200.7:80/index.html
					http:// 通信协议
					182.61.200.7 服务器IP地址
					80 服务器上软件的端口
					index.html 是服务器上某个资源名
				
				
				jdbc:mysql://127.0.0.1:3306/bjpowernode
					jdbc:mysql:// 协议
					127.0.0.1 IP地址
					3306 mysql数据库端口号
					bjpowernode 具体的数据库实例名。
				
				说明：localhost和127.0.0.1都是本机IP地址。

				jdbc:mysql://192.168.151.27:3306/bjpowernode
				
				什么是通信协议，有什么用？
					通信协议是通信之前就提前定好的数据传送格式。
					数据包具体怎么传数据，格式提前定好的。
				
				oracle的URL：
					jdbc:oracle:thin:@localhost:1521:orcl
			*/
			String url = "jdbc:mysql://localhost:3306/bjpowernode";
			String user = "root";
			String password = "123456";
			conn = DriverManager.getConnection(url,user,password);
			// com.mysql.jdbc.JDBC4Connection@41cf53f9
			System.out.println("数据库连接对象 = " + conn); 

			//3、获取数据库操作对象(Statement专门执行sql语句的)
			stmt = conn.createStatement();

			//4、执行sql
			String sql = "insert into dept(deptno,dname,loc) values(80,'人事部','广州')";
			// 专门执行DML语句的(insert delete update)
			// 返回值是“影响数据库中的记录条数”
			int count = stmt.executeUpdate(sql); 
			System.out.println(count == 1 ? "保存成功" : "保存失败");

			//5、处理查询结果集

		}catch(SQLException e){
			e.printStackTrace();
		}finally{
			//6、释放资源
			// 为了保证资源一定释放，在finally语句块中关闭资源
			// 并且要遵循从小到大依次关闭
			// 分别对其try..catch
			try{
				if(stmt != null){
					stmt.close();
				}
			}catch(SQLException e){
				e.printStackTrace();
			}
			try{
				if(conn != null){
					conn.close();
				}
			}catch(SQLException e){
				e.printStackTrace();
			}
		}
	}
}

​

注册驱动的另一种方式

/*
	注册驱动的另一种方式（这种方式常用）
*/
import java.sql.*;

public class JDBCTest03{
	public static void main(String[] args){
		try{
			//1、注册驱动
			// 这是注册驱动的第一种写法。
			// DriverManager.registerDriver(new com.mysql.jdbc.Driver());
			// 注册驱动的第二种方式：常用的。
			// 为什么这种方式常用？因为参数是一个字符串，字符串可以写到xxx.properties文件中。
			// 以下方法不需要接收返回值，因为我们只想用它的类加载动作。
			Class.forName("com.mysql.jdbc.Driver");
			//2、获取连接
			Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/bjpowernode","root","333");
			// com.mysql.jdbc.JDBC4Connection@41cf53f9
			System.out.println(conn);

		}catch(SQLException e){
			e.printStackTrace();
		}catch(ClassNotFoundException e){
			e.printStackTrace();
		}
	}
}

ResultSet

DQL语句需要Resultset，在JDBC中，ResultSet对象用于存储和操作SQL查询返回的结果集。当你执行一个SELECT查询时，数据库会返回一组符合查询条件的记录，这些记录被存储在一个ResultSet对象中。通过这个对象，你可以遍历、检索和修改结果集中的数据。getInt和getString方法是ResultSet接口提供的两种常用方法，用于从当前行的指定列中检索数据。这些方法允许你以不同的数据类型获取查询结果，参数为列的索引或列名。next方法用于将光标从当前位置移动到结果集的下一行。如果下一行存在，next方法会返回true；如果已经到达结果集的末尾，则返回false。这个方法在遍历结果集的过程中非常重要，因为它控制着循环的进行，允许你逐行处理查询结果。

DQL语句

/*
	处理查询结果集（遍历结果集。）
*/
import java.sql.*;

public class JDBCTest05{
	public static void main(String[] args){
		Connection conn = null;
		Statement stmt = null;
		ResultSet rs = null;
		try{
			//1、注册驱动
			Class.forName("com.mysql.jdbc.Driver");
			//2、获取连接
			conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/bjpowernode","root","333");
			//3、获取数据库操作对象
			stmt = conn.createStatement();
			//4、执行sql
			String sql = "select empno as a,ename,sal from emp";
			// int executeUpdate(insert/delete/update)
			// ResultSet executeQuery(select)
			rs = stmt.executeQuery(sql); // 专门执行DQL语句的方法。
			//5、处理查询结果集
			/*
			boolean flag1 = rs.next();
			//System.out.println(flag1); // true
			if(flag1){
				// 光标指向的行有数据
				// 取数据
				// getString()方法的特点是：不管数据库中的数据类型是什么，都以String的形式取出。
				String empno = rs.getString(1); // JDBC中所有下标从1开始。不是从0开始。
				String ename = rs.getString(2);
				String sal = rs.getString(3);
				System.out.println(empno + "," + ename + "," + sal);
			}

			flag1 = rs.next();
			if(flag1){
				// 以下程序的1 2 3 说的第几列。
				String empno = rs.getString(1);
				String ename = rs.getString(2);
				String sal = rs.getString(3);
				System.out.println(empno + "," + ename + "," + sal);
			}
			*/

			while(rs.next()){
				/*
				String empno = rs.getString(1);
				String ename = rs.getString(2);
				String sal = rs.getString(3);
				System.out.println(empno + "," + ename + "," + sal);
				*/

				/*
				// 这个不是以列的下标获取，以列的名字获取
				//String empno = rs.getString("empno");
				String empno = rs.getString("a"); // 重点注意：列名称不是表中的列名称，是查询结果集的列名称。
				String ename = rs.getString("ename");
				String sal = rs.getString("sal");
				System.out.println(empno + "," + ename + "," + sal);
				*/

				// 除了可以以String类型取出之外，还可以以特定的类型取出。
				/*
				int empno = rs.getInt(1);
				String ename = rs.getString(2);
				double sal = rs.getDouble(3);
				System.out.println(empno + "," + ename + "," + (sal + 100));
				*/

				int empno = rs.getInt("a");
				String ename = rs.getString("ename");
				double sal = rs.getDouble("sal");
				System.out.println(empno + "," + ename + "," + (sal + 200));
			}

		}catch(Exception e){
			e.printStackTrace();
		}finally{
			//6、释放资源
			if(rs != null){
				try{
					rs.close();
				}catch(Exception e){
					e.printStackTrace();
				}
			}
			if(stmt != null){
				try{
					stmt.close();
				}catch(Exception e){
					e.printStackTrace();
				}
			}
			if(conn != null){
				try{
					conn.close();
				}catch(Exception e){
					e.printStackTrace();
				}
			}
		}
	}
}

SQL注入

什么是SQL注入?

SQL注入的核心是：用户输入的参数改变了SQL的语法结构。

如何解决SQL注入？

只要用户提供的信息不参与SQL语句的编译过程，问题就解决了。即使用户提供的信息中含有SQL语句的关键字，但是没有参与编译，仍然不起作用。要想用户信息不参与SQL语句的编译，那么必须使用java.sql.PreparedStatement，PreparedStatement接口继承了java.sql.Statement， PreparedStatement是属于预编译的数据库操作对象。，原理是：预先对SQL语句的框架进行编译，然后再给SQL语句传“值”。Statement编译一次，执行一次，PreparedStatement编译一次，执行N次。

• 明确sql语句的格式后，就不会改变了。剩余的内容都会认为是参数

import java.sql.*;
import java.util.HashMap;
import java.util.Map;
import java.util.Scanner;

/**
        什么情况下必须使用Statement呢？
 *      业务方面要求必须支持SQL注入的时候。
 *      Statement支持SQL注入，凡是业务方面要求是需要进行sql语句拼接的，必须使用Statement。
 */
public class JDBCTest07 {
    public static void main(String[] args) {
        // 初始化一个界面
        Map<String,String> userLoginInfo = initUI();
        // 验证用户名和密码
        boolean loginSuccess = login(userLoginInfo);
        // 最后输出结果
        System.out.println(loginSuccess ? "true" : "false");
    }

    /**
     * 用户登录
     * @param userLoginInfo 用户登录信息
     * @return false表示失败，true表示成功
     */
    private static boolean login(Map<String, String> userLoginInfo) {
        // 打标记的意识
        boolean loginSuccess = false;
        // 单独定义变量
        String loginName = userLoginInfo.get("loginName");
        String loginPwd = userLoginInfo.get("loginPwd");

        // JDBC代码
        Connection conn = null;
        PreparedStatement ps = null; // 这里使用PreparedStatement（预编译的数据库操作对象）
        ResultSet rs = null;

        try {
            // 1、注册驱动
            Class.forName("com.mysql.jdbc.Driver");
            // 2、获取连接
            conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/bjpowernode", "root", "333");
            // 3、获取预编译的数据库操作对象
            // SQL语句的框子。其中一个?，表示一个占位符，一个?将来接收一个“值”，注意：占位符不能使用单引号括起来。
            String sql = "select * from student where loginName = ? and loginPwd = ?";
            // 程序执行到此处，会发送sql语句框子给DBMS，然后DBMS进行sql语句的预先编译。
            ps = conn.prepareStatement(sql);
            // 给占位符?传值（第1个问号下标是1，第2个问号下标是2，JDBC中所有下标从1开始。）
            ps.setString(1, loginName);
            ps.setString(2, loginPwd);
            // 4、执行sql
            rs = ps.executeQuery();
            // 5、处理结果集
            if(rs.next()){
                // 登录成功
                loginSuccess = true;
            }
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            // 6、释放资源
            if (rs != null) {
                try {
                    rs.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }
            if (ps != null) {
                try {
                    ps.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }
            if (conn != null) {
                try {
                    conn.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }
        }
        return loginSuccess;
    }

    /**
     * 初始化用户界面
     * @return 用户输入的用户名和密码等登录信息
     */
    private static Map<String, String> initUI() {
        Scanner s = new Scanner(System.in);

        System.out.print("用户名：");
        String loginName = s.nextLine();

        System.out.print("密码：");
        String loginPwd = s.nextLine();

        Map<String,String> userLoginInfo = new HashMap<>();
        userLoginInfo.put("loginName", loginName);
        userLoginInfo.put("loginPwd", loginPwd);

        return userLoginInfo;
    }
}

悲观锁（行级锁）和乐观锁

悲观锁:事务必须排队执行。数据锁住了，不允许并发。(行级锁:select后面添加forupdate)

乐观锁:支持并发，事务也不需要排队，只不过需要一个版本号。

素材来源：动力节点杜聚宾老师。