再谈连接数据库

（本文主要讲解的是：1如何防止数据库的注入，2，如何实现DBUtils，3，第三方工具类QueryRunner的使用）

1.防止数据库的注入

java作为企业级开发语言，你总能感受到它与数据库之间的紧密联系。

前面已经写过一遍关于statement 连接数据库的文章：JDBC连接数据库（statement）

当然了，statement只是其中一种初级的连接方式，在以前是会有被攻击的可能的

例如我前面讲到的用户登录，假如用户名随便输入一个，只要密码是：1'or'1=1

对于这样的执行sql 的过程显然能是被轻易注入了：

System.out.println("请输入用户名：");
String uString = scanner.next();
System.out.println("请输入用户密码：");
String pString = scanner.next();
// 4.执行sql语句
String sqlString = "SELECT * FROM users WHERE username='" + uString + "' AND PASSWORD='" + pString + "'";
ResultSet rSet = statement.executeQuery(sqlString);

这都是因为利用了sql语言的特点，这里相当于让数据库执行了：SELECT * FROM users WHERE username=uString  AND PASSWORD = 1 OR 1=1

不过我也是试过了许多网站，现在一般都不会再使用statement 来进行校验了

下面介绍另一种更为安全 的校验方式：PreparedStatement

使用方法和statement 其实都差不多的，就是在sql语言里面的用户名和密码这些变量都用一个占位 符  ？  来表示，然后再在下面设定

	// 执行SQL语句,数据表,查询用户名和密码,如果存在,登录成功,不存在登录失败
	String sql = "SELECT * FROM users WHERE username=? AND PASSWORD=?";/* "SELECT*FROM users WHERE username=? AND PASSWORD=?" */
	// 调用Connection接口的方法prepareStatement,获取PrepareStatement接口的实现类
	// 方法中参数,SQL语句中的参数全部采用问号占位符
	PreparedStatement pStatement = connection.prepareStatement(sql);
	System.out.println(pStatement);
	// 调用pStatement对象set方法,设置问号占位符上的参数
	pStatement.setObject(1, uString);// 第一个问号
	pStatement.setObject(2, pString);// 第二个问号

	ResultSet rSet = pStatement.executeQuery();
	while (rSet.next()) {
		System.out.println(rSet.getString("username") + "..." + rSet.getString("password"));
	}

2，实现JDBC的工具类

如果每次调用sql 语句都要重新连接，那未免太麻烦了，这样，我们就想到使用一个类用来专门申请连接和关闭连接

但是又有一个问题，要是多次申请连接，这个新写的类就每次都会重新获取连接，其实并没有这个必要

我们可以使用static ，也就是静态块的特点，只要这个类一执行，就会执行一次，并且再调用的时候也不会再执行。避免了资源的浪费。

下面代码演示：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

/**
 * 实现JDBC的工具类 定义方法,直接返回数据库的连接对象
 * 
 * 写关闭方法
 */
public class JDBCUtils {
	//构造方法私有
	private JDBCUtils(){}
	private static Connection connection;
	//进入这个类，先运行静态代码块
	static{
		try {
			Class.forName("com.mysql.jdbc.Driver");
			String url = "jdbc:mysql://localhost:3306/mydatabase";
			String username="root";
			String password="951218";
			connection = DriverManager.getConnection(url,username,password);
			
		} catch (Exception e) {
			//如果连接失败了就没必要继续下面的操作了
			throw new RuntimeException(e+"数据库连接失败");
		}
	}
	
	/*
	 * 定义静态方法,返回数据库的连接对象
	 */
	public static Connection getConnection(){
		return connection;
	}
	//两个关闭方法重载
	public static void close (Connection connection,Statement statement){
		if (statement != null) {
			try {
				statement.close();
			} catch (SQLException e) {
			}
		}
		if(connection != null){
			try {
				connection.close();
			} catch (SQLException e) {
			}
		}
	}
	public static void close (Connection connection,Statement statement,ResultSet rSet ){
		if(statement != null){
			try {
				statement.close();
			} catch (SQLException e) {
			}
		}
		if(connection != null){
			try {
				connection.close();
			} catch (SQLException e) {
			}
		}
		if(rSet != null){
			try {
				rSet.close();
			} catch (SQLException e) {
			}
		}
	}
	
}

3，使用QueryRunner类

我们除了可以使用自己写的dbutils之外，也可以使用第三方给我们提供好的工具类，这样就使得连接数据库更为简便了

这个工具类就是QueryRunner，开发的时候当然使用最为简单的方式了

这个工具类我会放到我的下载频道上面：java工具类  进行下载，或者到网上找

需要的可以去下载，当然，里面还有别的常用的工具类

使用方式：

（1）创建QueryRunner类对象

（2）写sql语句

（3）写占位符的实参

（4）调用QueryRunner类的执行方法update

import java.sql.Connection;
import java.sql.SQLException;

import org.apache.commons.dbutils.DbUtils;
import org.apache.commons.dbutils.QueryRunner;

import baseSyntax.connectMySQL.myJDBC.JDBCUtils;

/*
 *  使用QueryRunner类,实现对数据表的
 *  insert delete update
 *  调用QueryRunner类的方法 update (Connection con,String sql,Object...param)
 *  Object...param 可变参数,Object类型,SQL语句会出现?占位符
 *  数据库连接对象,自定义的工具类传递
 */
public class QueryRunner_1 {
	private static Connection connection = JDBCUtils.getConnection();
	public static void main(String[] args)throws SQLException{
		insert();
	}
	//使用QueryRunner类的方法update向数据表中添加数据
	public static void insert()throws SQLException{
		//创建QueryRunner类对象
		QueryRunner qRunner = new QueryRunner();
		String sqlString = "INSERT INTO sort (sname,sprice,sdesc)VALUES(?,?,?)";
		
		//将三个?占位符的实际参数,写在数组中
		Object []params = {"体育用品","500","锻炼身体"};
		//调用QueryRunner类的方法update执行SQL语句
		
		System.out.println(qRunner.update(connection,sqlString,params));//update()返回一个int 值的成功执行代码行数
		DbUtils.closeQuietly(connection);
	}
}

下面提供一个 QueryRunner数据查询操作的示例，可以作为参考学习：

（代码比较长，也可以copy到你的电脑上面去运行，方便以后使用）

import java.sql.Connection;
import java.sql.SQLException;
import java.util.List;
import java.util.Map;

import org.apache.commons.dbutils.QueryRunner;
import org.apache.commons.dbutils.handlers.ArrayHandler;
import org.apache.commons.dbutils.handlers.ArrayListHandler;
import org.apache.commons.dbutils.handlers.BeanHandler;
import org.apache.commons.dbutils.handlers.BeanListHandler;
import org.apache.commons.dbutils.handlers.ColumnListHandler;
import org.apache.commons.dbutils.handlers.MapHandler;
import org.apache.commons.dbutils.handlers.MapListHandler;
import org.apache.commons.dbutils.handlers.ScalarHandler;

import baseSyntax.connectMySQL.myDBUtils.Sort;
import baseSyntax.connectMySQL.myJDBC.JDBCUtils;

/*
 * QueryRunner数据查询操作:
 *   调用QueryRunner类方法query(Connection con,String sql,ResultSetHandler r, Object..params)
 *   ResultSetHandler r 结果集的处理方式,传递ResultSetHandler接口实现类
 *   Object..params SQL语句中的?占位符
 *   
 *   注意: query方法返回值,返回的是T 泛型, 具体返回值类型,跟随结果集处理方式变化
 */
public class QueryRunner_2 {

	static Connection connection = JDBCUtils.getConnection();

	public static void main(String[] args) throws SQLException {
//		arrayHandler();
//		arrayListHandler();
//		beanHandler();
//		beanListHandler();
//		columnListHandler();
//		scanlarHandler();
//		mapHandler();
		mapListHandler();
	}
	/*
	 *  结果集第八种处理方法,MapListHandler
	 *  将结果集每一行存储到Map集合,键:列名,值:数据
	 *  Map集合过多,存储到List集合
	 */
	public static void mapListHandler() throws SQLException{
		QueryRunner qRunner = new QueryRunner();
		String sqlString = "SELECT  * FROM sort";
		//调用方法query,传递结果集实现类MapListHandler
		//返回值List集合, 存储的是Map集合
		List<Map<String, Object>>list = qRunner.query(connection, sqlString, new MapListHandler());
		for(Map<String , Object > map:list){
			for(String key:map.keySet()){
				System.out.print(key+":  "+map.get(key)+"  ");
			}
			System.out.println();
		}
	}
	/*
	 *  结果集第七种处理方法,MapHandler
	 *  将结果集第一行数据,封装到Map集合中
	 *  Map<键,值> 键:列名  值:这列的数据
	 */
	public static void mapHandler() throws SQLException{
		QueryRunner qRunner = new QueryRunner();
		String sqlString = "SELECT  * FROM sort";
		//调用方法query,传递结果集实现类MapHandler
		//返回值: Map集合,Map接口实现类, 泛型
		Map<String , Object> map = qRunner.query(connection, sqlString, new MapHandler());
		for(String key : map.keySet()){
			System.out.println(key +":  "+ map.get(key));
		}
	}
	/*
	 *  结果集第六种处理方法,ScalarHandler
	 *  对于查询后,只有1个结果
	 *  查询数据表共有几个数据
	 */
	public static void scanlarHandler()throws SQLException{
		QueryRunner qRunner = new QueryRunner();
		String sqlString = "SELECT COUNT(*) FROM sort";
		//调用方法query,传递结果集处理实现类ScalarHandler
		long count = qRunner.query(connection, sqlString, new ScalarHandler<Long>());
		System.out.println( count);
	}
	/*
	 *  结果集第五种处理方法,ColumnListHandler
	 *  结果集,指定列的数据,存储到List集合
	 *  List<Object> 每个列数据类型不同
	 */
	public static void columnListHandler() throws SQLException{
		QueryRunner qRunner = new QueryRunner();
		String slqString = "SELECT* FROM sort";
		//调用方法 query,传递结果集实现类ColumnListHandler
		//实现类构造方法中,使用字符串的列名
		List<Object>list = qRunner.query(connection, slqString, new ColumnListHandler<Object>("sname"));
		for(Object object : list){
			System.out.println(object);
		}
	}
	/*
	 *  结果集第四种处理方法, BeanListHandler
	 *  结果集每一行数据,封装JavaBean对象
	 *  多个JavaBean对象,存储到List集合
	 */
	public static void beanListHandler() throws SQLException{
		QueryRunner qRunner = new QueryRunner();
		String sqlString = "SELECT * FROM sort";
		//调用方法query,传递结果集处理实现类BeanListHandler
		List<Sort>list = qRunner.query(connection, sqlString, new BeanListHandler<Sort>(Sort.class));
		for(Sort sort :list){
			System.out.println(sort);
		}
	}
	/*
	 *  结果集第三种处理方法,BeanHandler
	 *  将结果集的第一行数据,封装成JavaBean对象
	 *  注意: 被封装成数据到JavaBean对象, Sort类必须有空参数构造
	 */
	public static void beanHandler() throws SQLException{
		QueryRunner qRunner = new QueryRunner();
		String sqlString = "SELECT * FROM sort";
		//调用方法,传递结果集实现类BeanHandler
		//BeanHandler(Class<T> type) 
		Sort sort = qRunner.query(connection, sqlString, new BeanHandler<Sort>(Sort.class));
		System.out.println(sort);
	}
	/*
	 * 结果集第二种处理方法,ArrayListHandler
	 *  将结果集的每一行,封装到对象数组中, 出现很多对象数组 对象数组存储到List集合
	 */
	public static void arrayListHandler()throws SQLException {
		QueryRunner qRunner = new QueryRunner();
		String sqlString = "SELECT * FROM sort";
		// 调用query方法,结果集处理的参数上,传递实现类ArrayListHandler
		// 方法返回值 每行是一个对象数组,存储到List
		List<Object[]> result = qRunner.query(connection, sqlString, new ArrayListHandler());
		
		//遍历集合
		for(Object[] objects: result){
			for(Object object: objects){
				System.out.print(object+"...");
			}
			System.out.println();
		}
	}

	/*
	 * 结果集第一种处理方法, ArrayHandler 
	 * 将结果集的第一行存储到对象数组中 Object[]
	 */
	public static void arrayHandler() throws SQLException {
		QueryRunner qRunner = new QueryRunner();
		String sqlString = "SELECT * FROM sort";
		Object[] objects = qRunner.query(connection, sqlString, new ArrayHandler());
		for (Object object : objects) {
			System.out.println(object);
		}

	}
}