MySQL ---- JDBC

JDBC数据库操作

1. 概述

• Java数据库连接，（Java Database Connectivity，简称JDBC）是Java语言中用来规范客户端程序如何来访问数据库的应用程序接口，提供了诸如查询和更新数据库中数据的方法。
• 我们通常说的JDBC是面向关系型数据库的。

2. IDEA 中的准备

• 创建项目并导入jar包
  • 新建一个lib文件夹，并将对应的mysql的jar文件粘贴进来
  • 右键该文件，选择Add as Library
    
  • 点击OK
    

  ---

  • 或者 选择File -- Project Structure
    
  • 点击Libraries -- + -- Java -- 选中刚才文件的位置 -- OK -- Apply -- OK
    

3. JDBC测试

• 创建Test1类用于测试JDBC操作

  	package cn.tedu.test;
  	
  	import java.sql.*;
  	
  	//本类用于测试jdbc的入门案例
  	public class Test1 {
  	    public static void main(String[] args) {
  	        Connection c = null;
  	        Statement s = null;
  	        ResultSet r = null;
  	        try {
  	            //1.注册驱动 Driver
  	            Class.forName("com.mysql.cj.jdbc.Driver");
  	            //2.获取连接(用户名 密码 端口号 库名)
  	            //  jdbc:协议://IP地址:端口号/数据库名
  	            String url = "jdbc:mysql://localhost:3306/cgb2106";
  	            c = DriverManager.getConnection(url, "root", "123456");
  	            //3.获取传输器
  	            s = c.createStatement();
  	            //4.执行SQL
  	            r = s.executeQuery("select * from dept");
  	            //5.处理结果集
  	            while (r.next()){ //next()判断有没有数据，有数据就返回true
  	                String a = r.getString(1);//获取第一列的数据
  	                //String b = r.getString("deptno");//获取指定字段名的值
  	                //System.out.println(a);
  	                String a2 = r.getString(2);
  	                String a3 = r.getString(3);
  	                System.out.println(a+","+a2+","+a3);
  	
  	            }
  	        } catch (ClassNotFoundException e) {
  	            e.printStackTrace();
  	        } catch (SQLException e) {
  	            e.printStackTrace();
  	        } finally {
  	            //6.释放资源
  	            try {
  	                r.close();
  	                s.close();
  	                c.close();
  	            } catch (SQLException e) {
  	                e.printStackTrace();
  	            }
  	        }
  	    }
  	}
  

• 查看用户表的所有数据

  package cn.tedu.test;
  
  import java.sql.*;
  import java.util.Scanner;
  
  //查询用户表
  public class Test2 {
      public static void main(String[] args) {
          //method(); //查询所有用户信息
          method2(); //根据用户名和密码查询用户信息，查到了才能登陆
      }
  
      //利用JDBC，查询所有用户信息
      private static void method() {
          Connection c = null;
          Statement s = null;
          ResultSet r = null;
          try {
              Class.forName("com.mysql.cj.jdbc.Driver");
              String url = "jdbc:mysql://localhost:3306/cgb2106?characterEncoding=utf8&serverTimezone=Asia/Shanghai";
              c = DriverManager.getConnection(url,"root","123456");
              s = c.createStatement();
              r = s.executeQuery("select * from user");
              while (r.next()){
                  String id = r.getString(1);
                  String name = r.getString(2);
                  String pwd = r.getString(3);
                  System.out.println(id+","+name+","+pwd);
              }
          } catch (ClassNotFoundException e) {
              e.printStackTrace();
          } catch (SQLException e) {
              e.printStackTrace();
          } finally {
              try {
                  r.close();
                  s.close();
                  c.close();
              } catch (SQLException e) {
                  e.printStackTrace();
              }
          }
      }
  
      private static void method2() {
          Connection c = null;
          Statement s = null;
          ResultSet r = null;
          try {
              Class.forName("com.mysql.cj.jdbc.Driver");
              String url = "jdbc:mysql://localhost:3306/cgb2106?characterEncoding=utf8&serverTimezone=Asia/Shanghai";
              c = DriverManager.getConnection(url, "root", "123456");
              s = c.createStatement();
              String name = new Scanner(System.in).nextLine();
              String pwd = new Scanner(System.in).nextLine();
              String sql = "select * from user where name='"+name+"' and password='"+pwd+"'";
              r = s.executeQuery(sql);
              if (r.next()){ //next()用来判断有没有数据，有数据返回true
                  System.out.println("登录成功");
              } else {
                  System.out.println("用户名或密码输入错误");
              }
          } catch (ClassNotFoundException e) {
              e.printStackTrace();
          } catch (SQLException e) {
              e.printStackTrace();
          }
      }
  }
  

  • 此时，容易发生SQL注入的安全问题

    	# 比如即使不知道用户名和密码， 输入 a' or '1=1' # 后不输入密码，也可以登录
    	a' or '1=1' #																	'
    	
    	登录成功
    	# 原因是 or '1=1' 相当于true 会查询出所有用户名和密码，
    	# 而 # 后的内容不执行，相当于被注释掉了
    

4. 解决不安全问题 ---- （使用PreparedStatement）

	private static void method3() {
	        Connection c = null;
	        PreparedStatement ps = null;
	        ResultSet r = null;
	        try {
	            Class.forName("com.mysql.cj.jdbc.Driver");
	            String url = "jdbc:mysql://localhost:3306/cgb2106?characterEncoding=utf8&serverTimezone=Asia/Shanghai";
	            c = DriverManager.getConnection(url, "root", "123456");
	            String name = new Scanner(System.in).nextLine();
	            String pwd = new Scanner(System.in).nextLine();
	            // 获取传输器
	            // SQL骨架, ?是占位符
	            String sql = "select * from user where name=? and password=?";
	            ps = c.prepareStatement(sql);
	            //设置参数，第一个是？的位置，第二个是值
	            ps.setString(1, name);
	            ps.setString(2, pwd);
	            //执行SQL
	            r = ps.executeQuery();
	            //处理结果集
	            if(r.next()){ //next()用来判断有没有数据，查到了就返回true
	                System.out.println("登录成功");
	            }else {
	                System.out.println("用户名或密码错误");
	            }
	        } catch (ClassNotFoundException e) {
	            e.printStackTrace();
	        } catch (SQLException e) {
	            e.printStackTrace();
	        } finally {
	            try {
	                r.close();
	                ps.close();
	                c.close();
	            } catch (SQLException e) {
	                e.printStackTrace();
	            }
	        }
	    }

• 小结：
  • Statement不安全，低效，SQL拼接复杂。会出现SQL注入的现象，原因是：用户输入了非法字符，如#，而#在SQL中是注释的意思，改变了SQL语义，造成了安全问题。
  • PreparedStatement比Statement安全和高效，原因是SQL语句中使用了?作为占位符，后续再给?设置值，而不是直接拼接