Java数据库操作小结(Oracle)

Statement 和 PreparedStatement之间的区别

1.在对数据库只执行一次性存取的时侯，用Statement对象进行处理。

2.PreparedStatement是预编译的，对于批量处理可以大大提高效率，也叫JDBC存储过程。

3.在执行SQL命令时，我们有二种选择：可以使用PreparedStatement对象，也可以使用Statement对象。无论多少次地使用同一个SQL命令，PreparedStatement都只对它解析和编译一次。当使用Statement对象时，每次执行一个SQL命令时，都会对它进行解析和编译。

使用 PreparedStatement 代替 Statement

在JDBC应用中，如果你已经是稍有水平开发者，你就应该始终以PreparedStatement代替Statement。也就是说，在任何时候都不要使用Statement。

1.代码的可读性和可维护性。
虽然用PreparedStatement来代替Statement会使代码多出几行，但这样的代码无论从可读性还是可维护性上来说。都比直接用Statement的代码高很多档次。

 

    PreparedStatement

Connection conn = null;
PreparedStatement pstmt = null;
conn = DriverManager.getConnection(JDBCURL, DBUSER, DBPASSWORD);
String sql = "update Person set age= ?,tel= ?,summary = ? where id = ?";
pstmt = conn.prepareStatement(sql);
pstmt.setString(1,age);
pstmt.setString(2,tel);
pstmt.setString(3,summary);
pstmt.setString(4,pId);
pstmt.executeUpdate();

    Statement

Connection conn = null;
Statement stmt = null;
conn = DriverManager.getConnection(JDBCURL, DBUSER, DBPASSWORD);
String sql = "update Person set age = '"+age+"',tel = '"+tel+"',summary = '"+summary+"' where id = '"+summary+"'";
stmt = conn.prepareStatement(sql);
stmt.executeUpdate();

 

2.PreparedStatement尽最大可能提高性能。

3.最重要的一点是极大地提高了安全性。

即使到目前为止，仍有一些人连基本的恶义SQL语法都不知道。

String sql = "select * from tb_user where name = '"+varname+"' and passwd ='"+varpasswd+"'";

 
@1.如果我们把[' or '1' = '1]作为varpasswd传入进来，用户名随意,看看会成为什么？

select * from tb_user = '随意' and passwd = '' or '1' = '1';

 
因为'1'='1'肯定成立，所以可以任何通过验证；

 

@2.如果传入的变量中含有 ' 字符，则执行sql语句将会出错；

 

@3.更有甚者，把[';drop table tb_name;]作为varpasswd传入进来，则：

 

select * from tb_user = '随意' and passwd = '';drop table tb_user;

 

有些数据库是不会让你成功的，但也有很多数据库就可以使这些语句得到执行。

 

----------------------------------------------------------------------------------------------------

 

以下是java使用PreparedStatement进行数据库连接和操作的代码

 

package com.miracle.test;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class DBConnectionTest {
	public static void main(String[] args) {
		Connection conn = null;
		PreparedStatement pstmt = null;
		//String driver = "com.cownew.JDBMonitor.jdbc.DBDriver";
		String driver = "oracle.jdbc.driver.OracleDriver";
		//String url = "listener=jdbc:oracle:thin:@127.0.0.1:1521:orcl";
		String url = "jdbc:oracle:thin:@127.0.0.1:1521:orcl";
		String user = "admin";
		String password = "1";
		String sql = "select * from sysuser where account= ? and password= ?s";
		
		try {
			Class.forName(driver);
		} catch (ClassNotFoundException e) {
			System.out.println("加载驱动类时出现异常!");
			e.printStackTrace();
		}
		try {
			conn = DriverManager.getConnection(url, user, password);
			pstmt = conn.prepareStatement(sql);
			pstmt.setString(1, "root");
			pstmt.setString(2, "123");
			ResultSet rs = pstmt.executeQuery();
			while(rs.next()) {
				String name = rs.getString(8);
				System.out.println(name);
			}
			pstmt.close();
		} catch (SQLException e) {
			System.out.println("出现SQLException异常");
			e.printStackTrace();
		} finally {
			try {
				if(conn!=null)
					conn.close();
			} catch (SQLException e) {
				System.out.println("关闭数据库连接时出现异常");
				e.printStackTrace();
			}
		}
	}
}