JDBC学习（一）--------SQL注入

一、JDBC的开发步骤
1.注册驱动
2.获得连接
3.获得语句执行者
4.执行sql语句
5.处理结果
’
二、导入驱动jar包
1.创建lib目录，用于存放项目所需要的jar包。选中jar包，复制粘贴即可。
2.选择lib目录下的jar包，右键执行build path—Add to Build Path。

三、API详解，注册驱动
代码：Class.forName(“com.mysql.jdbc.Driver”);
1.JDBC规范定义驱动接口：java.sql.Driver；
MySql驱动包提供了实现类：com.mysql.jdbc.Driver。

注意：只有在此时用的是jdbc下的包，以后导入包都选择sql包。

测试sql注入问题：
在进行sql语句注入时，如果存在sql语句的拼接，则不能够使用Statement stmt=conn.createStatement();此时会产生一个漏洞，用户可以通过输入特殊字符组成的字符串直接访问到数据库中。如login犯法。使用PreparedStatement方法则不会产生这种问题，因为PreparedStatement会对用户输入的内容进行预编译处理。
有很多中方法能够对应sql拼接产生的漏洞，这里的方法是现在接触中最为简单。
数据库中username=‘zs’，upassword=‘zs’。
当使用login方法时，由字符拼接的方式，此时用户输入zs’ or 'zs，仍然能够成功的在数据共查找到。
但是使用login1方法，就不能够通过查找。

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import org.junit.Test;

public class TestLogin {
	@Test
	public void testLogin(){
		try {
			login1("zs' or 'zs","zs");
		} catch (Exception e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		} 
	}
//	用户登录方法
	private void login(String username,String password) throws ClassNotFoundException, SQLException {
//		1.注册驱动
		Class.forName("com.mysql.jdbc.Driver");
//		2.获取连接
		Connection conn=DriverManager.getConnection("jdbc:mysql://localhost:3306/chatroom","root","root");
//		3.创建执行sql语句的对象
		Statement stmt=conn.createStatement();
//		4.书写一个sql语句
		String sql="select * from tbl_user where "+"uname='"+username+"' and upassword='"+password+"'";
//		5.执行sql语句
		ResultSet rs= stmt.executeQuery(sql);
//		6.对结果集进行处理
		if(rs.next()){
			System.out.println("恭喜您："+username+"！登陆成功");
			System.out.println(sql);
		}else{
			System.out.println("账号或输入密码错误");
		}
		if(rs!=null){
			rs.close();
		}
		if(stmt!=null){
			stmt.close();
		}
		if(conn!=null){
			conn.close();
		}
	}
	public void login1(String username,String password) throws ClassNotFoundException, SQLException{
//		1.注册驱动
		Class.forName("com.mysql.jdbc.Driver");
//		2.获取连接
		Connection conn=DriverManager.getConnection("jdbc:mysql://localhost:3306/chatroom","root","root");
//		3.编写sql语句
		String sql ="select * from tbl_user where uname=? and upassword=?";
//		4.创建预处理对象
		PreparedStatement pr= conn.prepareStatement(sql);
//		5.设置参数（给占位符）
		pr.setString(1,username);
		pr.setString(2, password);
//		6.执行查询操作
		ResultSet rs=pr.executeQuery();
		if(rs.next()){
			System.out.println("恭喜您："+username+"！登陆成功");
			System.out.println(sql);
		}else{
			System.out.println("账号或输入密码错误");
		}
		if(rs!=null){
			rs.close();
		}
		if(pr!=null){
			pr.close();
		}
		if(conn!=null){
			conn.close();
		}
	}
	
}