JDBC：PreparedStatement

最新推荐文章于 2023-10-03 23:29:28 发布
最新推荐文章于 2023-10-03 23:29:28 发布
阅读量327 收藏
点赞数
分类专栏： Java 文章标签： jdbc
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Silent_Paladin/article/details/63696796
版权

本文内容大多基于官方文档和网上前辈经验总结，经过个人实践加以整理积累，仅供参考。

1 准备数据表（以MySQL数据库示例）

这里写图片描述

2 PreparedStatement 示例代码

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import org.junit.Test;

public class JDBCTest {

    @Test
    public void test() {
        Connection connection = null;
        PreparedStatement preparedStatement = null;
        String driverClass = "com.mysql.jdbc.Driver";
        // MySQL高版本(5.5.45+ | 5.6.26+ | 5.7.6+)需要在JDBC URL中指明是否建立SSL连接，否则会出现警告
        String jdbcUrl = "jdbc:mysql:///test?useSSL=false";
        String user = "root";
        String password = "123456";

        try {
            connection = getConnection(driverClass, jdbcUrl, user, password);
            // SQL指明占位符
            String sql = "INSERT INTO product (label, price, manufacturer) VALUES (?, ?, ?)";
            // 生成PreparedStatement对象时需要传入SQL
            preparedStatement = connection.prepareStatement(sql);
            // 为占位符赋值，第一个参数Index是占位符序号，从1开始
            preparedStatement.setString(1, "iPhone 7 128G");
            preparedStatement.setDouble(2, 6688.00);
            preparedStatement.setString(3, "Apple");
            preparedStatement.executeUpdate();
        } catch (ClassNotFoundException | SQLException e) {
            e.printStackTrace();
        } finally {
            release(null, preparedStatement, connection);
        }
    }

    private Connection getConnection(String driverClass, String jdbcUrl, String user, String password) 
        throws ClassNotFoundException, SQLException {
        Class.forName(driverClass);
        return DriverManager.getConnection(jdbcUrl, user, password);
    }

    private void release(ResultSet resultSet, Statement statement, Connection connection) {
        if (resultSet != null) {
            try {
                resultSet.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        if (statement != null) {
            try {
                statement.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        if (connection != null) {
            try {
                connection.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}

3 优化示例代码

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import org.junit.Test;

public class JDBCTest {

    @Test
    public void test() {
        String sql = "INSERT INTO product (label, price, manufacturer) VALUES (?, ?, ?)";
        insertProduct(sql, "iPhone 4s", 1000, "FOXCONN");
        insertProduct(sql, "iPhone 5s", 2000, "FOXCONN");
        insertProduct(sql, "iPhone 6s", 3000, "FOXCONN");
    }

    public void insertProduct(String sql, Object ... params) {
        Connection connection = null;
        PreparedStatement preparedStatement = null;
        String driverClass = "com.mysql.jdbc.Driver";
        // MySQL高版本(5.5.45+ | 5.6.26+ | 5.7.6+)需要在JDBC URL中指明是否建立SSL连接，否则会出现警告
        String jdbcUrl = "jdbc:mysql:///test?useSSL=false";
        String user = "root";
        String password = "123456";
        try {
            connection = getConnection(driverClass, jdbcUrl, user, password);
            // 生成PreparedStatement对象时需要传入SQL
            preparedStatement = connection.prepareStatement(sql);
            // 为占位符赋值，第一个参数Index是占位符序号，从1开始
            for (int i = 1; i <= params.length; i++) {
                preparedStatement.setObject(i, params[i - 1]);
            }
            preparedStatement.executeUpdate();
        } catch (ClassNotFoundException | SQLException e) {
            e.printStackTrace();
        } finally {
            release(null, preparedStatement, connection);
        }
    }

    private Connection getConnection(String driverClass, String jdbcUrl, String user, String password) 
        throws ClassNotFoundException, SQLException {
        Class.forName(driverClass);
        return DriverManager.getConnection(jdbcUrl, user, password);
    }

    private void release(ResultSet resultSet, Statement statement, Connection connection) {
        if (resultSet != null) {
            try {
                resultSet.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        if (statement != null) {
            try {
                statement.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        if (connection != null) {
            try {
                connection.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}

4 PreparedStatement 防止 SQL 注入

4.1 SQL 注入示例
准备数据表 admin，插入一条管理员账号密码信息用于登录
这里写图片描述

这里写图片描述

测试SQL注入的代码

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import org.junit.Test;

public class JDBCTest {

    @Test
    public void test() {
        login("ANY STRING' OR '1=1", "ANY STRING' OR '1=1");
    }

    public void login(String adminAccount, String adminPassword) {
        Connection connection = null;
        Statement statement = null;
        ResultSet resultSet = null;
        String driverClass = "com.mysql.jdbc.Driver";
        String jdbcUrl = "jdbc:mysql:///test?useSSL=false";
        String user = "root";
        String password = "123456";
        String sql = "SELECT * FROM admin WHERE username='" + adminAccount + "' AND password='" + adminPassword + "'";
        try {
            connection = getConnection(driverClass, jdbcUrl, user, password);
            statement = connection.createStatement();
            resultSet = statement.executeQuery(sql);
            if (resultSet.next()) {
                System.out.println("OK");
            } else {
                System.out.println("REJECT");
            }
        } catch (ClassNotFoundException | SQLException e) {
            e.printStackTrace();
        } finally {
            release(resultSet, statement, connection);
        }
    }

    private Connection getConnection(String driverClass, String jdbcUrl, String user, String password) 
        throws ClassNotFoundException, SQLException {
        Class.forName(driverClass);
        return DriverManager.getConnection(jdbcUrl, user, password);
    }

    private void release(ResultSet resultSet, Statement statement, Connection connection) {
        if (resultSet != null) {
            try {
                resultSet.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        if (statement != null) {
            try {
                statement.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        if (connection != null) {
            try {
                connection.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}

4.2 改写为 PreparedStatement 后将得到完全不同的执行结果

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import org.junit.Test;

public class JDBCTest {

    @Test
    public void test() {
        login("ANY STRING' OR '1=1", "ANY STRING' OR '1=1");
    }

    public void login(String adminAccount, String adminPassword) {
        Connection connection = null;
        PreparedStatement statement = null;
        ResultSet resultSet = null;
        String driverClass = "com.mysql.jdbc.Driver";
        String jdbcUrl = "jdbc:mysql:///test?useSSL=false";
        String user = "root";
        String password = "123456";
        String sql = "SELECT * FROM admin WHERE username=? AND password=?";
        try {
            connection = getConnection(driverClass, jdbcUrl, user, password);
            statement = connection.prepareStatement(sql);
            statement.setString(1, adminAccount);
            statement.setString(2, adminPassword);
            resultSet = statement.executeQuery(sql);
            if (resultSet.next()) {
                System.out.println("OK");
            } else {
                System.out.println("REJECT");
            }
        } catch (ClassNotFoundException | SQLException e) {
            e.printStackTrace();
        } finally {
            release(resultSet, statement, connection);
        }
    }

    private Connection getConnection(String driverClass, String jdbcUrl, String user, String password) 
        throws ClassNotFoundException, SQLException {
        Class.forName(driverClass);
        return DriverManager.getConnection(jdbcUrl, user, password);
    }

    private void release(ResultSet resultSet, Statement statement, Connection connection) {
        if (resultSet != null) {
            try {
                resultSet.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        if (statement != null) {
            try {
                statement.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        if (connection != null) {
            try {
                connection.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}
又言又语
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
JDBC中的PreparedStatement
weixin_40273144的博客
04-21 256
使用Statement需要进行拼写SQL语句，很麻烦而且容易出错，这就用到了PreparedStatement。PreparedStatement是Statement的子接口，可以传入带占位符的SQL语句，并且提供了补充占位符变量的方法。 1.使用PreparedStatement 1.1 创建PreparedStatement； String sql="INSERT INTO EXAMS...
JDBC之PreparedStatement接口
a3060858469的博客
09-26 646
PreparedStatement接口继承自Statement接口，用于执行含有或不含有参数的预编译的SQL语句，相对于Statement接口，用于执行静态SQL语句，PreparedStatement接口中的SQL语句是预编译的，重复执行的效率会比较高。 创建执行SQL的语句(Statement) Statement与PreparedStatement区别 方式一：Statement...
【Java 进阶篇】JDBC PreparedStatement 详解
最新发布
繁依Fanyi的博客
10-03 1922
是 JDBC 中的一个接口，用于执行预编译的 SQL 语句。与普通的Statement不同，的 SQL 语句在执行之前已经经过编译，因此更高效且安全，同时可以防止 SQL 注入攻击。通常用于执行多次相似的 SQL 查询或更新，只需编译一次，多次执行。是 JDBC 中用于执行预编译 SQL 语句的重要接口，它具有高效性、安全性和可维护性的优势。在实际应用中，使用能够有效地防止 SQL 注入攻击，并提高数据库操作的性能。通过本文的介绍，您应该对的基本概念和使用方法有了更清晰的理解。
JDBC中PreparedStatement详解及应用场景介绍
weixin_62079735的博客
03-20 6060
在Java中，当需要向数据库中执行SQL语句并传递参数时，我们通常会使用PreparedStatement接口。PreparedStatement继承自Statement接口，用于预编译SQL语句并执行参数化查询，这样可以提高执行效率并防止SQL注入攻击。
JDBC的PreparedStatement
刘顺顺的博客
10-11 629
文章目录JDBC的PreparedStatement是什么？相对于Statement，PreparedStatement的优点是什么？ JDBC的PreparedStatement是什么？ PreparedStatement对象代表的是一个预编译的SQL语句。 用它提供的setter方法可以传入查询的变量。由于 PreparedStatement是预编译的，通过它可以将对应的SQL语句高效的执行多次。 由于PreparedStatement自动对特殊字符转义，避免了SQL注入攻击，因此应当尽量的使用它。 相
JDBC---PreparedStatement用法详解
silmeweed的博客
04-16 4118
一 简介： JDBC的最基本的使用过程 加载驱动类：Class.forName() 获取数据库连接：DriverManager.getConnection() 创建SQL语句执行句柄：Connection.createStatement() 执行SQL语句：Statement.executeUpdate() 释放数据库连接资源：finally，Connection.cl...
JDBC编程之预编译SQL与防注入式攻击以及PreparedStatement的使用教程
a631278993的博客
09-16 314
转载请注明原文地址： http://www.cnblogs.com/ygj0930/p/5876951.html 在JDBC编程中，常用Statement、PreparedStatement和CallableStatement三种方式来执行查询语句，其中Statement用于通用查询，PreparedStatement用于执行参数化查询，而Callabl...
JDBC：MySQL8.0.29驱动
04-29
JDBC（Java Database Connectivity）是Java编程语言中用于与关系数据库交互的一种标准接口。它是Java平台的标准部分，允许开发人员使用SQL语言在Java应用程序中执行数据库操作。MySQL JDBC驱动，也称为MySQL ...
JDBC之PreparedStatement类中预编译的综合应用解析
09-05
PreparedStatement是Java JDBC中用于执行预编译SQL语句的接口，它是Statement的子接口。预编译的SQL语句可以提高数据库操作的性能和安全性。在数据库系统中，预编译意味着SQL语句在首次执行前已经过编译，形成一个...
snow-jdbc：Snowflake JDBC驱动程序
02-06
【Snowflake JDBC驱动程序详解】 Snowflake是一款云数据仓库服务，它提供了高性能、高扩展性的数据存储和分析解决方案。为了使Java应用程序能够与Snowflake进行交互，Snowflake提供了JDBC（Java Database ...
JDBC:Java数据库连接
05-18
JDBC（Java Database Connectivity）是Java编程语言中用于与各种数据库进行交互的一组接口和类。它是Java标准API的一部分，由Sun Microsystems（现为Oracle公司）开发，允许Java开发者执行SQL语句并处理返回的结果。...
JDBC:MySQL JAVA连接
04-13
**JDBC：MySQL与Java的桥梁** Java Database Connectivity（JDBC）是Java平台中的一个标准API，用于在Java应用程序和各种数据库之间建立连接。它提供了一组接口和类，允许开发者执行SQL语句，处理结果集，以及管理...
JDBC之PreparedStatement的用法
shuo_Java的博客
04-21 1012
JDBC之PreparedStatement的用法
【JDBC下篇】PreparedStatement类 && JDBC事务
llg___的博客
12-13 522
之前有的网站，当输入上面这种非法密码的时候，会直接锁定这个用户账户。但这样带来的问题是：如果我知道某人的账户名，再输入非法密码，岂不是可以锁别人的账户。被分成了两块，一块放在获取（预编译的）数据库操作对象前，一部分放在了执行SQL前，即setString传值。但实际的业务中，通常都是N条DML语句共同联合才能完成一个业务，因此，必须保证这些DML语句在同一个事务中同时成功或者同时失败。因此，Statement极少用，只有当业务方面要求支持SQL注入，或者要进行SQL拼接的时候，才用Statement。
JAVA【JDBC】【使用PreparedStatement操作数据库】
芊樱烛渊的博客
08-07 4755
这里我们是先连接到了我们上述的数据表，然后将数据表中的user和password的内容独取出来，然后编成sql语句，交给我们的mysql，并且如果查询失败就返回用户名不存在或者密码错误，如果查询成功就返回登陆成功。针对于不同的表我们想要获取到的查询数据的结构一定是不同的，所以我们需要在查询的时候将我们查询的结构传入，然后利用反射机制构造出对应的对象，然后将对应的对象返回。原来我们想表达的是 xx and xx是一个并且的关系，也就是我们的use和password同时正确的时候才返回结果。...
JDBC
腾飞的菜鸟的专栏
12-11 805
 JDBC为什么要使用PreparedStatement而不是Statement PreparedStatement是用来执行SQL查询语句的API之一，Java提供了 Statement、PreparedStatement 和 CallableStatement三种方式来执行查询语句，其中 Statement 用于通用查询， PreparedStatement 用于执行参数化查询，而 C
JDBC PreparedStatement的使用
qq_57389269的博客
08-03 633
PreparedStatement： 可以通过调用 Connection 对象的 preparedStatement(String sql) 方法获取PreparedStatement 对象。 PreparedStatement 接口是 Statement 的子接口，它表示一条预编译过的 SQL 语句 PreparedStatement 对象所代表的 SQL 语句中的参数用问号(?)来表示，调用PreparedStatement 对象的 setxxx() 方法来设置这些参数.。se
JDBC快速入门(ResultSet、PreparedStatement、JDBC执行流程)
十八岁讨厌编程的博客
04-26 1303
文章目录ResultSet案例PreparedStatement代码模拟SQL注入问题PreparedStatement用法原理 ResultSet ResultSet（结果集对象）作用： 封装了SQL查询语句的结果。 而执行了DQL语句后就会返回该对象，对应执行DQL语句的方法如下： ResultSet executeQuery(sql)：执行DQL 语句，返回 ResultSet 对象 那么我们就需要从 ResultSet 对象中获取我们想要的数据。ResultSet 对象提供了操作查询结果数据
Java：日期时间字符串和毫秒相互转换
热门推荐
又言又语
01-21 4万+
Java：日期时间字符串和毫秒相互转换
Java JDBC指南：PreparedStatement与批处理操作
"这篇文档主要介绍了Java中的JDBC概念、使用方法以及PreparedStatement和CallableStatement接口。JDBC是Java Database Connectivity的缩写，它提供了一套API来让Java应用程序与数据库进行交互。文档详细阐述了JDBC的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

又言又语

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值