MySQL攻略 - JDBC程序SQL注入，PreparedStatement接口详解与案例练习，JDBC相关API小结

最新推荐文章于 2024-08-04 13:18:12 发布
最新推荐文章于 2024-08-04 13:18:12 发布
阅读量452 收藏
点赞数
分类专栏： 成长阶段 笔记 文章标签： mysql 数据库 database
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_39123467/article/details/123215867
版权
本文详细比较了Statement与PreparedStatement在Java JDBC中的使用，展示了SQL注入的风险以及PreparedStatement如何通过预处理语句有效防止攻击。实例涵盖了select, insert, update, delete和创建表操作，强调了预处理Statement的好处和最佳实践。
摘要由CSDN通过智能技术生成

文章目录

SQL注入

请添加图片描述

Statement详解

基本介绍

statement是一个接口（interface statement）

  1. Statement对象，用于执行静态SQL语句并返回其生成的结果的对象
  2. 在连接建立后，需要对数据库进行访问，执行命令或是SQL语句，可以通过
  • Statemetn【存在SQL注入问题】
  • PreparedStatement【预处理】
  • CallableStatement【存储过程】
  1. Statement对象执行SQL语句，存在SQL注入风险
  2. SQL注入是利用某些系统没有对用户输入的数据进行充分的检查，而在用户输入数据中注入非法的SQL语句段或命令，恶意攻击数据库
  3. 要防范SQL注入，只要用PreparedStatement（从Statement扩展而来）取代Statement就可以了

Navicat演示SQL注入

-- 演示sql 注入
-- 创建一张表
Create table admin (	-- 管理员表
Name varchar(32) not null unique,
pwd varchar(32) not null default ''
) character set utf8;

-- 添加数据
Insert into admin values('tom','123');

-- 查找某个管理是否存在

-- select * from admin where name = 'taotao' and pwd = '123';

-- SQL
-- 输入用户名 为 1 ' or
-- 输入密码 为 or '1' = '1
select * from admin where name = '1 ' or' and pwd = 'or '1' = '1';

JDBC演示SQL注入

package com.taotao.jdbc.statement;

import java.io.FileInputStream;
import java.io.FileNotFoundException;
import java.io.IOException;
import java.sql.*;
import java.util.Properties;
import java.util.Scanner;

/**
 * Create By 刘鸿涛
 * 2022/3/1 15:45
 */
@SuppressWarnings({"all"})
public class Statement_ {
    public static void main(String[] args) throws IOException, ClassNotFoundException, SQLException {
        Scanner sc = new Scanner(System.in);

        //让用户输入管理员和密码
        System.out.print("请输入管理员姓名：");
        String admin_name = sc.nextLine();  //nextline回车键代表此数据结束
        System.out.print("请输入管理员密码：");
        String admin_pwd = sc.nextLine();

        //通过Properties对象获取配置文件的信息
        Properties properties = new Properties();
        properties.load(new FileInputStream("src\\mysql.properties"));

        //获取账号密码
        String user = properties.getProperty("user");
        String password = properties.getProperty("password");

        //获取驱动
        String url = properties.getProperty("url");

        //1.加载Driver类
        Class.forName("com.mysql.cj.jdbc.Driver");

        //2.连接SQL
        Connection connection = DriverManager.getConnection(url, user, password);

        //3.得到statement，然后执行增删改查
        Statement statement = connection.createStatement();

        //4.组织SQL
        String sql = "select name,pwd from admin where name = '" + admin_name + "' and pwd = '"+ admin_pwd  +"'";

        ResultSet resultSet = statement.executeQuery(sql);
        if (resultSet.next()){  //如果查询到一条记录，则说明该管理存在
            System.out.println("恭喜，登陆成功");
        }else {
            System.out.println("登录失败");
        }

        //5.关闭连接资源
        resultSet.close();
        statement.close();
        connection.close();

    }
}

请添加图片描述

请添加图片描述

PreparedStatement详解

基本介绍

  1. PreparedStatement执行的SQL语句中的参数用问号（？）来表示，调用PreparedStatement对象的setXxx（）方法来设置这些参数.setXxx()方法有两个参数，第一个参数是要设置的SQL语句中的参数的索引（从1开始），第二个是设置的SQL语句中的参数的值
  2. 调用executeQuery（），返回ResultSet对象
  3. 调用executeUpdate（），执行更新，包括增、删、修改

预处理好处

  1. 不再使用 + 拼接sql语句，减少语法错误
  2. 有效的解决了sql注入问题！
  3. 大大减少了编译次数，效率较高

预处理案例（selete语句）

package com.taotao.jdbc.preparedstatement;

import java.io.FileInputStream;
import java.io.IOException;
import java.sql.*;
import java.util.Properties;
import java.util.Scanner;

/**
 * Create By 刘鸿涛
 * 2022/3/1 16:54
 */
@SuppressWarnings({"all"})
public class PreparedStatement_ {
    public static void main(String[] args) throws IOException, ClassNotFoundException, SQLException {
        Scanner sc = new Scanner(System.in);

        //让用户输入管理员和密码
        System.out.print("请输入管理员姓名：");
        String admin_name = sc.nextLine();  //nextline回车键代表此数据结束
        System.out.print("请输入管理员密码：");
        String admin_pwd = sc.nextLine();

        //通过Properties对象获取配置文件的信息
        Properties properties = new Properties();
        properties.load(new FileInputStream("src\\mysql.properties"));

        //获取账号密码
        String user = properties.getProperty("user");
        String password = properties.getProperty("password");

        //获取驱动
        String url = properties.getProperty("url");

        //1.加载Driver类
        Class.forName("com.mysql.cj.jdbc.Driver");

        //2.连接SQL
        Connection connection = DriverManager.getConnection(url, user, password);

        //3.得到PreparedStatement
        //3.1.组织SQL,sql语句的 ？ 就相当于占位符
        String sql = "select name,pwd from admin where name =?  and pwd =? ";
        //3.2 preparedStatement 对象实现了 PreparedStatement 接口的实现类的对象
        PreparedStatement preparedStatement = connection.prepareStatement(sql);
        //3.3给 ？ 赋值
        preparedStatement.setString(1,admin_name);
        preparedStatement.setString(2,admin_pwd);

        //4.执行select 语句使用 executeQuery
        // 如果执行的是dml（update，insert，delete） executeUpdate()
        // 这里执行 executeQuery，不要再写 sql，因为已经被preparedStatement.setString语句处理过了
        ResultSet resultSet = preparedStatement.executeQuery();
        if (resultSet.next()){  //如果查询到一条记录，则说明该管理存在
            System.out.println("恭喜，登陆成功");
        }else {
            System.out.println("登录失败");
        }

        //5.关闭连接资源
        resultSet.close();
        preparedStatement.close();
        connection.close();

    }
}

预处理案例（insert语句）

package com.taotao.jdbc.preparedstatement;

import java.io.FileInputStream;
import java.io.IOException;
import java.sql.*;
import java.util.Properties;
import java.util.Scanner;

/**
 * Create By 刘鸿涛
 * 2022/3/1 16:54
 */
@SuppressWarnings({"all"})
public class PreparedStatement_ {
    public static void main(String[] args) throws IOException, ClassNotFoundException, SQLException {
        Scanner sc = new Scanner(System.in);

        //让用户输入管理员和密码
        System.out.print("请输入添加用户姓名");
        String admin_name = sc.nextLine();  //nextline回车键代表此数据结束
        System.out.print("请输入添加用户密码");
        String admin_pwd = sc.nextLine();

        //通过Properties对象获取配置文件的信息
        Properties properties = new Properties();
        properties.load(new FileInputStream("src\\mysql.properties"));

        //获取账号密码
        String user = properties.getProperty("user");
        String password = properties.getProperty("password");

        //获取驱动
        String url = properties.getProperty("url");

        //1.加载Driver类
        Class.forName("com.mysql.cj.jdbc.Driver");

        //2.连接SQL
        Connection connection = DriverManager.getConnection(url, user, password);

        //3.得到PreparedStatement
        //3.1.组织SQL,sql语句的 ？ 就相当于占位符
        String sql = "insert into admin values(?,?) ";
        //3.2 preparedStatement 对象实现了 PreparedStatement 接口的实现类的对象
        PreparedStatement preparedStatement = connection.prepareStatement(sql);
        //3.3给 ？ 赋值
        preparedStatement.setString(1,admin_name);
        preparedStatement.setString(2,admin_pwd);

        //4.执行select 语句使用 executeQuery
        // 如果执行的是dml（update，insert，delete） executeUpdate()
        // 这里执行 executeQuery，不要再写 sql，因为已经被preparedStatement.setString语句处理过了
        int i = preparedStatement.executeUpdate();

        System.out.println("创建用户" + (i == 1 ? "成功":"失败" ));

        //5.关闭连接资源
        preparedStatement.close();
        connection.close();

    }
}

预处理案例（update语句）

package com.taotao.jdbc.preparedstatement;

import java.io.FileInputStream;
import java.io.IOException;
import java.sql.*;
import java.util.Properties;
import java.util.Scanner;

/**
 * Create By 刘鸿涛
 * 2022/3/1 16:54
 */
@SuppressWarnings({"all"})
public class PreparedStatement_ {
    public static void main(String[] args) throws IOException, ClassNotFoundException, SQLException {
        Scanner sc = new Scanner(System.in);

        //让用户输入管理员和密码
        System.out.print("请输入管理员姓名");
        String admin_name = sc.nextLine();  //nextline回车键代表此数据结束
        System.out.print("请输入新的密码");
        String admin_pwd = sc.nextLine();

        //通过Properties对象获取配置文件的信息
        Properties properties = new Properties();
        properties.load(new FileInputStream("src\\mysql.properties"));

        //获取账号密码
        String user = properties.getProperty("user");
        String password = properties.getProperty("password");

        //获取驱动
        String url = properties.getProperty("url");

        //1.加载Driver类
        Class.forName("com.mysql.cj.jdbc.Driver");

        //2.连接SQL
        Connection connection = DriverManager.getConnection(url, user, password);

        //3.得到PreparedStatement
        //3.1.组织SQL,sql语句的 ？ 就相当于占位符
        String sql = "update admin set pwd = ? where name = ?";
        //3.2 preparedStatement 对象实现了 PreparedStatement 接口的实现类的对象
        PreparedStatement preparedStatement = connection.prepareStatement(sql);
        //3.3给 ？ 赋值
        preparedStatement.setString(2,admin_name);
        preparedStatement.setString(1,admin_pwd);

        //4.执行select 语句使用 executeQuery
        // 如果执行的是dml（update，insert，delete） executeUpdate()
        // 这里执行 executeQuery，不要再写 sql，因为已经被preparedStatement.setString语句处理过了
        int i = preparedStatement.executeUpdate();

        System.out.println("修改用户密码" + (i == 1 ? "成功":"失败" ));

        //5.关闭连接资源
        preparedStatement.close();
        connection.close();
    }
}

预处理案例（delete语句）

package com.taotao.jdbc.preparedstatement;

import java.io.FileInputStream;
import java.io.IOException;
import java.sql.*;
import java.util.Properties;
import java.util.Scanner;

/**
 * Create By 刘鸿涛
 * 2022/3/1 16:54
 */
@SuppressWarnings({"all"})
public class PreparedStatement_ {
    public static void main(String[] args) throws IOException, ClassNotFoundException, SQLException {
        Scanner sc = new Scanner(System.in);

        //让用户输入管理员和密码
        System.out.print("请输入要删除的管理员姓名");
        String admin_name = sc.nextLine();  //nextline回车键代表此数据结束

        //通过Properties对象获取配置文件的信息
        Properties properties = new Properties();
        properties.load(new FileInputStream("src\\mysql.properties"));

        //获取账号密码
        String user = properties.getProperty("user");
        String password = properties.getProperty("password");

        //获取驱动
        String url = properties.getProperty("url");

        //1.加载Driver类
        Class.forName("com.mysql.cj.jdbc.Driver");

        //2.连接SQL
        Connection connection = DriverManager.getConnection(url, user, password);

        //3.得到PreparedStatement
        //3.1.组织SQL,sql语句的 ？ 就相当于占位符
        String sql = "delete from admin where name = ?";
        //3.2 preparedStatement 对象实现了 PreparedStatement 接口的实现类的对象
        PreparedStatement preparedStatement = connection.prepareStatement(sql);
        //3.3给 ？ 赋值
        preparedStatement.setString(1,admin_name);

        //4.执行select 语句使用 executeQuery
        // 如果执行的是dml（update，insert，delete） executeUpdate()
        // 这里执行 executeQuery，不要再写 sql，因为已经被preparedStatement.setString语句处理过了
        int i = preparedStatement.executeUpdate();

        System.out.println("删除用户成功" + (i == 1 ? "成功":"失败" ));

        //5.关闭连接资源
        preparedStatement.close();
        connection.close();
    }
}

预处理案例（create表）

package com.taotao.jdbc.preparedstatement;

import java.io.FileInputStream;
import java.io.IOException;
import java.sql.*;
import java.util.Properties;
import java.util.Scanner;

/**
 * Create By 刘鸿涛
 * 2022/3/1 16:54
 */
@SuppressWarnings({"all"})
public class PreparedStatement_ {
    public static void main(String[] args) throws IOException, ClassNotFoundException, SQLException {
        Scanner sc = new Scanner(System.in);

        //让用户输入管理员和密码
        System.out.print("请输入要创建的表名称");
        String table_Name = sc.nextLine();  //nextline回车键代表此数据结束

        //通过Properties对象获取配置文件的信息
        Properties properties = new Properties();
        properties.load(new FileInputStream("src\\mysql.properties"));

        //获取账号密码
        String user = properties.getProperty("user");
        String password = properties.getProperty("password");

        //获取驱动
        String url = properties.getProperty("url");

        //1.加载Driver类
        Class.forName("com.mysql.cj.jdbc.Driver");

        //2.连接SQL
        Connection connection = DriverManager.getConnection(url, user, password);

        //3.得到PreparedStatement
        //3.1.组织SQL,sql语句的 ？ 就相当于占位符
        String sql = "create table "+table_Name+"(id int)";
        //3.2 preparedStatement 对象实现了 PreparedStatement 接口的实现类的对象
        PreparedStatement preparedStatement = connection.prepareStatement(sql);

        //4.创建表要用execute，并且返回的布尔值
        boolean execute = preparedStatement.execute(sql);

        System.out.println("创建表" + (execute == false ? "成功":"失败" ));

        //5.关闭连接资源
        preparedStatement.close();
        connection.close();
    }
}

注意

  • 占位符不能用于表名和列名！

JDBC的相关API小结

DriverManager驱动管理类

getConnection(url,user,pwd):获取连接

Connection接口

createStatement（）:生成命令对象

prepareStatement（sql）：生成预编译命令对象

请添加图片描述

请添加图片描述

鬼鬼骑士
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
JDBC中PreparedStatement的应用
weixin_51232559的博客
07-02 823
JDBC中PreparedStatement的应用（解决SQL注入导致的密码失效问题）
JDBC_PreparedStatement防止SQL注入问题详细介绍
weixin_50991263的博客
05-16 366
PreparedStatement 作用：1.提升SQL执行性能 2.预防SQL注入问题 SQL注入： SQL注入是同过操作输入来修改实现定义好的SQL语句，用来达到执行代码对服务器进行攻击得方法 例如：PreparedStatement其实是Statement得子类,如...
PrepareStatement用法（附源码解析）
Sherlock1020的博客
08-11 5583
PrepareStatement 基本用法 与 SQL注入分析
解决数据库查询时间过长导致com.mysql.cj.jdbc.exceptions.CommunicationsException: Communications link failure
热门推荐
u012785397的博客
02-28 1万+
数据库查询时间长时报错：The last packet successfully received from the server was 10,017 milliseconds ago. The last packet sent successfully to the server was 10,018 milliseconds ago. Communications link failure
JDBC连接Mysql数据库过程之代码实战【一条命途多舛的SQL】
一不小心的程序员
06-25 537
上一篇我们已经了解了JDBC连接Mysql的数据库操作的过程，那这一篇我们就来一下实战。 话不多说，就是干，拿起你的手，撸一下 我们先定义一些变量，这样便于后期的维护和管理，此处需要修改自己的数据库的地址和账户密码 private static final String DRIVER_CLASS_NAME = "com.mysql.jdbc.Driver"; /** * 数据库连接地址 * 如果出现中文乱码，请添加 【?useUnicode=true&characterEnc
JDBC代码案例（使用PreparedStatement进行优化查询）
weixin_45417821的博客
01-04 429
https://blog.csdn.net/weixin_45417821/article/details/1285368121，静态查询2，可能发生注入攻击，动态值充当了SQL语句结构,影响了原有的查询结果！ 图解
Java JDBC技术：（六）SQL 注入与PreparedStatement 对象的使用-5000字匠心出品
地球村
05-15 518
SQL 注入与PreparedStatement 对象的使用1.什么是 SQL 注入2.SQL 注入案例3.PreparedStatement 对象的使用1.PreparedStatement 特点2.通过 PreparedStatement 对象向表中插入数据4.PreparedStatement 的预编译能力1.什么是预编译1.SQL 语句的执行步骤2.解析过程2.预编译方式1.依赖数据库驱动完成预编译2.依赖数据库服务器完成预编译5.通过 PreparedStatement 对象完成数据的更新6.通过
polardb-jdbc18.zip
10-20
PolarDB-JDBC18作为PolarDB与Java应用之间的桥梁，实现了JDBC接口，使得Java开发者能够利用标准的JDBC API来操作PolarDB数据库，享受PolarDB带来的高效与便利。 二、PolarDB-JDBC18特性 2.1 高性能 PolarDB-JDBC18...
Java软件开发实战 Java基础与案例开发详解 18-3 JDBC操作SQL 共7页.pdf
07-07
JDBC是一种用于执行SQL语句的标准Java API，它可以为多种关系数据库提供统一访问，这使Java开发人员能够使用JDBC编写数据库应用程序而无需关心底层数据库的具体细节。 ### 1. JDBC API连接数据库的过程 在正式开始...
详解Java的JDBC API的存储过程与SQL转义语法的使用
09-03
Java的JDBC（Java Database Connectivity）API是Java程序员与各种数据库进行交互的标准接口。本文将深入探讨如何使用JDBC API中的CallableStatement接口来执行存储过程和理解SQL转义语法。 首先，存储过程是预编译...
JavaWeb JDBC + MySql 通讯录实现简单的增删改查功能案例详解
08-25
本案例将探讨如何利用JavaWeb中的JDBC与MySQL数据库来实现一个简单的通讯录系统，包括联系人的增、删、改、查等功能。 首先，我们需要创建一个Web项目，并配置好Tomcat服务器。在Eclipse中，你可以通过"New -> ...
JDBC 连接MySQL实例详解
09-09
JDBC (Java Database Connectivity) 是Java编程语言中用于与各种数据库进行交互的一种接口。它允许开发者使用Java代码来执行SQL语句，管理数据库事务，并获取查询结果。在本实例中，我们将深入探讨如何使用JDBC连接...
【JDBC系列】- 核心API之preparedstatement用法
qq_43843951的博客
07-23 478
上一篇jdbc系列文章中介绍了概念与statement的使用，但是statement会有一些缺处，所以这篇来学习一下preparedstatement这个API的用法。
使用jdbc连接数据库，如何使用PreParedStatement类实现in的查询
专注写bug
08-27 8853
大家都知道PreParedStatement类相比Statement更加方便的实现sql语句的动态赋值问题，虽然Statement也可以采取字符串拼接的方式实现，但代码整体风格看着不舒服，PreparedStatement类由Connect接口获取，同时再sql语句中采用占位符("?")的形式，方便程序员进行数据的赋值。但由此引申一个问题，如何区域查询呢？ 大家随便看个sql select ...
MySQL如何对SQL做prepare预处理（解决IN查询SQL预处理仅能查询出一条记录的问题）
健身变秃，coding变强
07-23 2573
1、SQL预处理prepare的由来？ 2、SQL预处理prepare如何使用？ 3、解决SQL预处理prepare对in查询无效的问题
JDBC，Java连接数据库
CegghnnoR的博客
11-18 270
Java连接数据库
JDBC知识【JDBC API详解】第三章下篇
若有所执，必有所成，心之所向，必显光芒
08-23 477
JDBC API：案例，Prepared Statement：SQL注入，模拟问题，解决问题
MySQL中PreparedStatement sql中in的引号问题
weixin_34059951的博客
01-17 618
2019独角兽企业重金招聘Python工程师标准>>> ...
【MySQL】慢sql优化全流程解析
最新发布
k123456kah的博客
08-04 1125
explain 是 MySQL 提供的一种用于分析和调试 SQL 查询的工具。 通过使用 explain，可以了解 MySQL 在执行查询时采用的具体执行计划，包括访问数据表的方式、使用的索引、连接表的顺序等信息。这些信息对于优化查询性能至关重要。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

鬼鬼骑士

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值