//原生操作步骤//1.导包 驱动包:5.1jar/8.0以及它以上的jar包//2.注册驱动Class.forName("com.mysql.jdbc.Driver");//3.获取数据库的连接对象Connection conn =DriverManager.getConnection("jdbc:mysql://localhost:3306/库名","root","登录mysql的密码");//4)准备好参数化的sql语句 DML语句String sql ="insert into 表名 values(?,?,?...)";String sql2 ="update 表名 set 字段名称1 = ?,字段名称2 = ?,字段名称3 = ? where 字段名称 = ?";String sql3 ="delete from 表名 where 字段名称 = ?";//sql语句:参数化的DQL语句String sql4 ="select * from 表名 ";String sql5 ="select * from 表名 where 字段名称 = ?";//...//5)获取预编译对象,同时将sql发送给数据库PreparedStatement ps = conn.prepareStatement(sql);//6)通过预编译对象,参数赋值
ps.setXXX(占位符号的索引值,XXX类型的实际参数);//7)要么执行DML语句int count = ps.executeUpdate();//影响的行数 count//要么执行的DQL语句ResultSet rs = ps.executeQuery();while(rs.next()){//获取结果数据
XXX 变量名 = rs.getXXX("列的名称要么列的索引值");}//释放资源//执行dql语句,//执行dml,只需要释放后面两个对象 ps对象以及conn对象
rs.close();
ps.close();
conn.close();
2.Statement和PreparedStatement对象的区别
1)执行sql效率区别
Statement对象:执行sql,每一次将sql都需要发送一次,相对于PreparedStatement对象效率低,不用它的原因
数据库的性能优化--->减少服务器的交互次数(和数据库的交互次数减少)
PreparedStatement对象:预编译对象: 执行的参数化的sql,直接先发送给数据库,数据库会进行校验(参数类型,以及参数的字段是哪一列),并且保存在预编译对象中,可以不断的重新赋值;执行sql效率高!
2)是否存在sql注入的区别
Statement对象:执行的sql语句,都是静态化sql,sql存在字符串拼接,就会导致可能出现sql注入,非常不安全!
举例
select * from user where username = '"+变量名+"' and password '"+值...+"' ;
PreparedStatement预编译对象:每次是在自己内存中直接赋值对应的值,sql语句永远是占位符号?
select * from user where username = ? and password = ? ;
不会造成sql注入问题,非常安全的!