Java Web学习day15------jdbc、sql注入、事务管理

一. 相关概念

1. 接口

  就是一个规范，定义好了这个规范之后，开发电脑的人和开发外设的人可以分别独立开发，开发好之后，直接插上就可以使用。

2. jdbc

  sun公司提供的一种操作所有关系型数据库的规范(大部分是接口,还有一些类)

3. 数据库驱动

  jdbc接口的实现类，由各个数据库厂商提供

4. 面向接口编程

  通过jdbc里面的接口，从驱动中取出实现类，调用实现类的重写方法，由实现类来操作他们自己的数据库，可以帮助我们屏蔽数据库之间的差异

二. 入门案例

1. 书写步骤

（1）导jar包
（2）注册驱动
（3）获得连接
（4）操作sql
  a) 编写sql语句
  b) 获取执行sql语句的对象
  c) 执行sql
  d) 处理结果
（5）释放资源

2. 功能详解

（1）DriverManager:驱动管理对象
  注册驱动
  获取数据库连接
（2）Connection:数据库的连接对象
  获取执行sql语句的对象
  管理事务
（3）Statement 执行sql对象
  执行sql语句
    增删改 executeUpdate()
    查询 executeQuery()
（4）ResultSet 结果集对象
  封装了查询的结果
  判断结果集中是否还有数据
  获取结果集中的数据
（5）代码块
  使用{}括起来的就是代码块
  分类
    a) 局部代码块
      在方法中，限定变量的生命周期，及早的释放，提高内存的利用率
    b) 构造代码块
      在类中，方法外，可以把多个构造方法中相同的代码抽取出来，放在一块，每次调用构造方法的时候，都会执行，并且在构造方法执行前执行
    c) 静态代码块
      在类中，方法外，加上static修饰，用于给类进行初始化，类加载的时候就会执行，并且只执行一次。一般用于加载驱动。
    d) 同步代码块
      多线程中，用synchronized修饰

三. 学生案例

1. 增

  INSERT INTO student VALUES (’"+stu.getSid()+"’,’"+stu.getName()+"’,’"+stu.getAge()+"’,’"+birthday+"’)
  需要传一个JavaBean对象,数据从JavaBean对象中获取

2. 删

  DELETE FROM student WHERE sid=’"+id+"’
  需要传一个id的值

3. 改

  UPDATE student SET sid=’"+stu.getSid()+"’, name=’"+stu.getName()+"’,age=’"+stu.getAge()+"’,birthday=’"+birthday+"’
WHERE sid=’"+stu.getSid()+"’
  需要传一个JavaBean对象,数据从JavaBean对象中获取

4. 查

（1）查询所有
  SELECT * FROM student
  返回的是多条记录,封装到一个装有javaBean的list集合中
（2）条件查询(根据id查询)
  SELECT * FROM student WHERE sid=’"+id+"’
  需要传一个id,返回的是一条记录,封装到一个javaBean对象中

四. 工具类抽取

1. 核心

  配置信息提取到配置文件，方法的抽取。

2. 步骤

（1）抽取注册驱动的代码(放在静态代码块)
  a) 创建Properties对象
  b) 加载配置文件
  c) 获取数据,赋值,替换数据
  d) 注册驱动
（2）抽取获取连接的方法
（3）抽取释放资源的方法

五. sql注入漏洞

1. 概念

  利用sql语句的漏洞来对系统进行攻击

2. 原因

例如：

-- and的优先级比or高
select * from user1 where username = 'sb' and password = 'bbb' or '1=1' //混入关键字
select * from user1 where username = 'zhangsan' -- ' and password = 'xxx' //直接把密码注释

3. 解决

  使用PreparedStatement预编译的sql执行对象
  操作sql语句的步骤有所变化
    （1）写sql语句,参数用?占位
    （2）预编译sql,将sql传进去
    （3）设置参数(编号从1开始)
    （4）执行sql语句,不需要传sql语句了

六. 事务管理

1. 概念

  逻辑上的一组操作，要么同时成功，要么同时失败,就可以使用事务进行捆绑

2. 步骤

setAutoCommit(false) ; //开启事务
commit(); // 提交事务
rollback(); // 回滚事务
try{
    //开启事务
    conn.setAutoCommit(false);
    //执行一组关联的sql操作
    dao1.xx(conn);
    dao2.yy(conn); 
    //提交事务
    conn.commit();
}catch(Exception e){
    //回滚事务
    conn.rollback();
}

3. 注意

  事务控制的代码应该放在Service层，因为只有在Service层获取的Connection对象，才能保证多个Dao操作使用的是同一个，这样才能保证是同一个事务