JDBC核心技术_第3章:使用PreparedStatement实现CRUD操作

3.1 操作和访问数据库

  • 数据库连接被用于向数据库服务器发送命令和 SQL 语句,并接受数据库服务器返回的结果。其实一个数据库连接就是一个Socket连接。
  • 在 java.sql 包中有 3 个接口分别定义了对数据库的调用的不同方式:
    • Statement:用于执行静态 SQL 语句并返回它所生成结果的对象。
    • PrepatedStatement:SQL 语句被预编译并存储在此对象中,可以使用此对象多次高效地执行该语句。
    • CallableStatement:用于执行 SQL 存储过程

在这里插入图片描述

3.2 使用Statement操作数据表的弊端

  • 通过调用 Connection 对象的 createStatement() 方法创建该对象。该对象用于执行静态的 SQL 语句,并且返回执行结果。
  • Statement 接口中定义了下列方法用于执行 SQL 语句:
int excuteUpdate(String sql):执行更新操作INSERTUPDATEDELETE
ResultSet executeQuery(String sql):执行查询操作SELECT

  • 但是使用Statement操作数据表存在弊端:
    • 问题一:存在拼串操作,繁琐
    • 问题二:存在SQL注入问题
  • SQL 注入是利用某些系统没有对用户输入的数据进行充分的检查,而在用户输入数据中注入非法的 SQL 语句段或命令(如:SELECT user, password FROM user_table WHERE user=‘a’ OR 1 = ’ AND password = ’ OR ‘1’ =‘1’) ,从而利用系统的 SQL 引擎完成恶意行为的做法。
  • 对于 Java 而言,要防范 SQL 注入,只要用 PreparedStatement(从Statement扩展而来) 取代 Statement 就可以了。
  • 代码演示:

在这里插入图片描述

user类

package com.atguigu2.statement.crud;

public class User {
   

	private String user;
	private String password;

	public User() {
   
	}

	public User(String user, String password) {
   
		super();
		this.user = user;
		this.password = password;
	}

	@Override
	public String toString() {
   
		return "User [user=" + user + ", password=" + password + "]";
	}

	public String getUser() {
   
		return user;
	}

	public void setUser(String user) {
   
		this.user = user;
	}

	public String getPassword() {
   
		return password;
	}

	public void setPassword(String password) {
   
		this.password = password;
	}

}

StatementTest类

package com.atguigu2.statement.crud;


import java.io.InputStream;
import java.lang.reflect.Field;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.ResultSetMetaData;
import java.sql.SQLException;
import java.sql.Statement;
import java.util.Properties;
import java.util.Scanner;

import org.junit.Test;

public class StatementTest {
   

	// 使用Statement的弊端:需要拼写sql语句,并且存在SQL注入的问题(输入的用户名和密码在不正确的情况下,也可以实现对数据库的恶意操作,比如用户名和密码填写不正确也可以登陆成功)
	@Test
	public void testLogin() {
   
		Scanner scan = new Scanner(System.in);

		System.out.print("用户名:");
		String userName = scan.nextLine();//next():当有空格或者换行就都认为是结束了
		System.out.print("密   码:");
		String password = scan.nextLine();//nextLine是只以换行来获取输入的结束

		//sql注入演示:明明用户民和密码不正确,但是仍然可以登陆成功,是用statement的原因
		// SELECT user,password FROM user_table WHERE user = '1' or ' AND password = '='1' or '1' = '1';
		String sql = "SELECT user,password FROM user_table WHERE user = '" + userName + "' AND password = '" + password
				+ "'";
		
		User user = get(sql, User.class);
		if (user != null) {
   
			System.out.println("登陆成功!");
		} else {
   
			System.out.println("用户名或密码错误!");
		}
	}

	// 使用Statement实现对数据表的查询操作
	public <T> T get(String sql, Class<T> clazz) {
   
		T t = null;

		Connection conn = null;
		Statement st = null;
		ResultSet rs = null;
		try {
   
			// 1.加载配置文件
			InputStream is = StatementTest.class.getClassLoader().getResourceAsStream("jdbc.properties");
			Properties pros = new Properties();
			pros.load(is);

			// 2.读取配置信息
			String user = pros.getProperty("user");
			String password = pros.getProperty("password");
			String url = pros.getProperty("url");
			String driverClass = pros.getProperty("driverClass");

			// 3.加载驱动
			Class.forName(driverClass);

			// 4.获取连接
			conn = DriverManager.getConnection(url, user, password);

			st = conn.createStatement();

			rs = st.executeQuery(sql);

			// 获取结果集的元数据
			ResultSetMetaData rsmd = rs.getMetaData();

			// 获取结果集的列数
			int columnCount = rsmd.getColumnCount();

			if (rs.next()) {
   

				t = clazz.newInstance();

				for (int i = 0; i < columnCount; i++) {
   
					// //1. 获取列的名称
					// String columnName = rsmd.getColumnName(i+1);

					// 1. 获取列的别名
					String columnName = rsmd.getColumnLabel(i + 1);

					// 2. 根据列名获取对应数据表中的数据
					Object columnVal = rs.getObject(columnName);

					// 3. 将数据表中得到的数据,封装进对象
					Field field = clazz.getDeclaredField(columnName);
					field.setAccessible(true);
					field.set(t, columnVal);
				}
				return t;
			}
		} catch (Exception e) {
   
			e.printStackTrace();
		} finally {
   
			// 关闭资源
			if (rs != null) {
   
				try {
   
					rs.close();
				} catch (SQLException e) {
   
					e.printStackTrace();
				}
			}
			if (st != null) {
   
				try {
   
					st.close();
				} catch (SQLException e) {
   
					e.printStackTrace();
				}
			}

			if (conn != null) {
   
				try {
   
					conn.close();
				} catch (SQLException e) {
   
					e.printStackTrace();
				}
			}
		}

		return null;
	}

}

综上:

在这里插入图片描述

3.3 PreparedStatement的使用

3.3.1 PreparedStatement介绍

  • 可以通过调用 Connection 对象的 preparedStatement(String sql) 方法获取 PreparedStatement 对象
  • PreparedStatement 接口是 Statement 的子接口,它表示一条预编译过的 SQL 语句
  • PreparedStatement 对象所代表的 SQL 语句中的参数用问号(?)来表示,调用 PreparedStatement 对象的setXxx() 方法来设置这些参数. setXxx() 方法有两个参数,第一个参数是要设置的 SQL 语句中的参数的索引(从 1开始),第二个是设置的 SQL 语句中的参数的值

PreparedStatement演示:

3.3.1.1向customers表中添加一条记录

	// 向customers表中添加一条记录
	@Test
	public void testInsert() {
   
		Connection conn = null;
		PreparedStatement ps = null;
		try {
   
			// 1.读取配置文件中的4个基本信息
			InputStream is = ClassLoader.getSystemClassLoader().getResourceAsStream("jdbc.properties");
								//获取系统类的加载器
			
			Properties pros = new Properties();
			pros.load(is);

			String user = pros.getProperty("user");
			String password = pros.getProperty("password");
			String url = pros.getProperty("url");
			String driverClass = pros.getProperty("driverClass");

			// 2.加载驱动
			Class.forName(driverClass);

			// 3.获取连接(会报异常,若报异常,conn会没拿到,
			conn = DriverManager.getConnection(url, user, password);

//		System.out.println(conn);

			// 4.预编译sql语句,返回PreparedStatement的实例
			String sql = "insert into customers(name,email,birth)values(?,?,?)";// ?:占位符
			ps = conn.prepareStatement(sql);
			// 5.填充占位符
			ps.setString(1, "哪吒");//数据库索引是从1开始
			ps.setString(2, "nezha@gmail.com");
			SimpleDateFormat sdf = new SimpleDateFormat("yyyy-MM-dd");//格式化
			java.util.Date date = sdf.parse("1000-01-01");
			ps.setDate(3, new Date(date.getTime()));//Date是sql下的Date

			// 6.执行操作(PreparedStatement的实例是一个信使,拿着sql语句去执行)
			ps.execute();
		} catch (Exception e) {
   
			e.printStackTrace();
		} finally {
   
			// 7.资源的关闭(关PreparedStatement实例ps 和 连接conn)
			try {
   
				if (ps != null)//避免出现空指针
					ps.close();
			} catch (SQLException e) {
   
				e.printStackTrace();
			}
			
			
			try {
   
				if (conn != null)
					conn.close();
			} catch (SQLException e) {
   
				e.printStackTrace();
			}

		}

	}

3.3.1.2 将数据库连接,资源关闭定义成方法后演示:

JDBCUtils 类

package com.atguigu3.util;

import java.io.InputStream;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
import java.util.Properties;

/**
 * 
 * @Description 操作数据库的工具类
 * @author shkstart Email:shkstart@126.com
 * @version
 * @date 上午9:10:02
 *
 */
public class JDBCUtils {
   
	
	/**
	 * 
	 * @Description 获取数据库的连接
	 * @author shkstart
	 * @date 上午9:11:23
	 * @return
	 * @throws Exception
	 */
	public static Connection getConnection() throws Exception {
   
		// 1.读取配置文件中的4个基本信息
		InputStream is = ClassLoader.getSystemClassLoader().getResourceAsStream("jdbc.properties");

		Properties pros = new Properties();
		pros.load(is);

		String user = pros.getProperty("user");
		String password = pros.getProperty("password");
		String url = pros.getProperty("url");
		String driverClass = pros.getProperty("driverClass");

		// 2.加载驱动
		Class.forName(driverClass);

		// 3.获取连接
		Connection conn = DriverManager.getConnection(url, user, password);
		return conn;
	}
	/**
	 * 
	 * @Description 关闭连接和Statement的操作
	 * @author shkstart
	 * @date 上午9:12:40
	 * @param conn
	 * @param ps
	 */
	public static void closeResource(Connection conn,Statement ps){
   //导包要导sql的,而不要导MySQL的
		try {
   
			if(ps != null)
				ps.close();
		} catch (SQLException e) {
   
			e.printStackTrace()
  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值