Statement stat = con.createStatement();//con是数据库连接对象,
String sql = "select * from 表名 where user='"+user+"' and password='"+"'";//若是出现这样 要求输入用户名跟密码的变量 若密码被输入 dsa'or'1=1 则这个语句会一直成立
所以引入新对象PreparedStatement (可以防止被攻击,安全性更高)
String sql = "select * from 表名 where user=? and password=?";
PreparedStatement pst = con.prepareStatement(sql);
pst.setInt(int,int);
pst.setString(int,String);
pst.setObject(int,Object);//前面的参数是第几个占位符? 后者则是内容,用Object比较方便
pst.executeUpdate();//此处与Statement对象不同,不需要参数,参数已经在建立对象的时候预定义了