jdbc入门到精通-扩展

JDBC对象介绍

1 JDBC中的主要类（接口）

在JDBC中常用的类有：

• DriverManager；
• Connection；
• Statement；
• ResultSet。

2 DriverManager

其实我们今后只需要会用DriverManager的getConnection()方法即可：

1. Class.forName(“com.mysql.jdbc.Driver”);//注册驱动

2. String url = “jdbc:mysql://localhost:3306/web08”;

3. String username = “root”;

4. String password = “root”;

5. Connection con = DriverManager.getConnection(url, username, password);

注意，上面代码可能出现的两种异常：

1. ClassNotFoundException：这个异常是在第1句上出现的，出现这个异常有两个可能：

   你没有给出mysql的jar包；

   你把类名称打错了，查看类名是不是com.mysql.jdbc.Driver。

2. SQLException：这个异常出现在第5句，出现这个异常就是三个参数的问题，往往username和password一般不是出错，所以需要认真查看url是否打错。

   对于DriverManager.registerDriver()方法了解即可，因为我们今后注册驱动只会Class.forName()，而不会使用这个方法。

3 Connection

​ Connection最为重要的方法就是获取Statement：

​ Statement stmt = con.createStatement();

​ 后面在学习ResultSet方法时，还要学习一下下面的方法：

​ Statement stmt = con.createStatement(int,int);

4 Statement

• Statement最为重要的方法是：
  • int executeUpdate(String sql)：执行更新操作，即执行insert、update、delete语句，其实这个方法也可以执行create table、alter table，以及drop table等语句，但我们很少会使用JDBC来执行这些语句；
  • ResultSet executeQuery(String sql)：执行查询操作，执行查询操作会返回ResultSet，即结果集。
  • boolean execute()
• Statement还有一个boolean execute()方法，这个方法可以用来执行增、删、改、查所有SQL语句。该方法返回的是boolean类型，表示SQL语句是否执行成功。
• 如果使用execute()方法执行的是更新语句，那么还要调用int getUpdateCount()来获取insert、update、delete语句所影响的行数。
• 如果使用execute()方法执行的是查询语句，那么还要调用ResultSet getResultSet()来获取select语句的查询结果。

5 ResultSet之滚动结果集（了解）

• ResultSet表示结果集，它是一个二维的表格！ResultSet内部维护一个行光标（游标），ResultSet提供了一系列的方法来移动游标：

  • void beforeFirst()：把光标放到第一行的前面，这也是光标默认的位置；
  • void afterLast()：把光标放到最后一行的后面；
  • boolean first()：把光标放到第一行的位置上，返回值表示调控光标是否成功；
  • boolean last()：把光标放到最后一行的位置上；
  • boolean isBeforeFirst()：当前光标位置是否在第一行前面；
  • boolean isAfterLast()：当前光标位置是否在最后一行的后面；
  • boolean isFirst()：当前光标位置是否在第一行上；
  • boolean isLast()：当前光标位置是否在最后一行上；
  • boolean previous()：把光标向上挪一行；
  • boolean next()：把光标向下挪一行；
  • boolean relative(int row)：相对位移，当row为正数时，表示向下移动row行，为负数时表示向上移动row行；
  • boolean absolute(int row)：绝对位移，把光标移动到指定的行上；
  • int getRow()：返回当前光标所有行。

• 上面方法分为两类，一类用来判断游标位置的，另一类是用来移动游标的。如果结果集是不可滚动的，那么只能使用next()方法来移动游标，而beforeFirst()、afterLast()、first()、last()、previous()、relative()方法都不能使用！！！

• 结果集是否支持滚动，要从Connection类的createStatement()方法说起。也就是说创建的Statement决定了使用Statement创建的ResultSet是否支持滚动。

• Statement createStatement(int resultSetType, int resultSetConcurrency)

• resultSetType的可选值：

  • ResultSet.TYPE_FORWARD_ONLY：不滚动结果集；
  • ResultSet.TYPE_SCROLL_INSENSITIVE：滚动结果集，但结果集数据不会再跟随数据库而变化；
  • ResultSet.TYPE_SCROLL_SENSITIVE：滚动结果集，但结果集数据不会再跟随数据库而变化；

• 可以看出，如果想使用滚动的结果集，我们应该选择TYPE_SCROLL_INSENSITIVE！其实很少有数据库驱动会支持TYPE_SCROLL_SENSITIVE的特性！通常我们也不需要查询到的结果集再受到数据库变化的影响。

• resultSetConcurrency的可选值：

  • CONCUR_READ_ONLY：结果集是只读的，不能通过修改结果集而反向影响数据库；
  • CONCUR_UPDATABLE：结果集是可更新的，对结果集的更新可以反向影响数据库。

• 通常可更新结果集这一“高级特性”我们也是不需要的！

• 获取滚动结果集的代码如下：

• Connection con = …
  Statement stmt = con.createStatement(ResultSet.TYPE_SCROLL_INSENSITIVE, [CONCUR_READ_ONLY](#CONCUR_READ_ONLY));
  
  String sql = …//查询语句
  
  ResultSet rs = stmt.executeQuery(sql);//这个结果集是可滚动的
  

6 ResultSet之获取列数据

• 可以通过next()方法使ResultSet的游标向下移动，当游标移动到你需要的行时，就需要来获取该行的数据了，ResultSet提供了一系列的获取列数据的方法：
  • String getString(int columnIndex)：获取指定列的String类型数据；
  • int getInt(int columnIndex)：获取指定列的int类型数据；
  • double getDouble(int columnIndex)：获取指定列的double类型数据；
  • boolean getBoolean(int columnIndex)：获取指定列的boolean类型数据；
  • Object getObject(int columnIndex)：获取指定列的Object类型的数据。
• 上面方法中，参数columnIndex表示列的索引，列索引从1开始，而不是0，这第一点与数组不同。如果你清楚当前列的数据类型，那么可以使用getInt()之类的方法来获取，如果你不清楚列的类型，那么你应该使用getObject()方法来获取。
• ResultSet还提供了一套通过列名称来获取列数据的方法：
  • String getString(String columnName)：获取名称为columnName的列的String数据；
  • int getInt(String columnName)：获取名称为columnName的列的int数据；
  • double getDouble(String columnName)：获取名称为columnName的列的double数据；
  • boolean getBoolean(String columnName)：获取名称为columnName的列的boolean数据；
  • Object getObject(String columnName)：获取名称为columnName的列的Object数据；

PreparedStatement

1 什么是SQL攻击

​ 在需要用户输入的地方，用户输入的是SQL语句的片段，最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句！例如用户在登录时输入的用户名和密码都是为SQL语句的片段！

2 演示SQL攻击

首先我们需要创建一张用户表，用来存储用户的信息。

CREATE TABLE  user(
    uid CHAR(32)  PRIMARY KEY,
    username  VARCHAR(30)  UNIQUE KEY NOT NULL,
    PASSWORD  VARCHAR(30)  
);
INSERT INTO user  VALUES('U_1001', 'zs', 'zs');
SELECT * FROM  user;

现在用户表中只有一行记录，就是zs。

下面我们写一个login()方法！

```java

public void login(String username, String password) {
Connection con = null;
Statement stmt = null;
ResultSet rs = null;
try {
con = JdbcUtils.getConnection();
stmt = con.createStatement();
String sql = "SELECT * FROM user WHERE " +
“username=’” + username +
“’ and password=’” + password + “’”;
rs = stmt.executeQuery(sql);
if(rs.next()) {
System.out.println(“欢迎” + rs.getString(“username”));
} else {
System.out.println(“用户名或密码错误！”);
}
} catch (Exception e) {
throw new RuntimeException(e);
} finally {
JdbcUtils.close(con, stmt, rs);
}
}
```

下面是调用这个方法的代码：

login("a' or 'a'='a", "a' or 'a'='a");

这行当前会使我们登录成功！因为是输入的用户名和密码是SQL语句片段，最终与我们的login()方法中的SQL语句组合在一起！我们来看看组合在一起的SQL语句：

SELECT * FROM tab_user WHERE username='a' or 'a'='a' and password='a' or 'a'='a'

3 防止SQL攻击

• 过滤用户输入的数据中是否包含非法字符；
• 分步校验！先使用用户名来查询用户，如果查找到了，再比较密码；
• 使用PreparedStatement。

4 PreparedStatement是什么？

• PreparedStatement叫预编译声明！
• PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。
• PreparedStatement的好处：
  • 防止SQL攻击；
  • 提高代码的可读性，以可维护性；
  • 提高效率。

5 PreparedStatement的使用

• 使用Connection的prepareStatement(String sql)：即创建它时就让它与一条SQL模板绑定；

• 调用PreparedStatement的setXXX()系列方法为问号设置值

• 调用executeUpdate()或executeQuery()方法，但要注意，调用没有参数的方法；

  String sql = “select * from tab_student where s_number=?”;
  PreparedStatement pstmt = con.prepareStatement(sql);
  pstmt.setString(1, “S_1001”);
  ResultSet rs = pstmt.executeQuery();
  rs.close();
  pstmt.clearParameters();
  pstmt.setString(1, “S_1002”);
  rs = pstmt.executeQuery();
  

• 在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。

• 在得到PreparedStatement对象后，调用它的setXXX()方法为“?”赋值，这样就可以得到把模板变成一条完整的SQL语句，然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。

• 注意PreparedStatement对象独有的executeQuery()方法是没有参数的，而Statement的executeQuery()是需要参数（SQL语句）的。因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了，所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。

• PreparedStatement最大的好处就是在于重复使用同一模板，给予其不同的参数来重复的使用它。这才是真正提高效率的原因。

所以，建议大家在今后的开发中，无论什么情况，都去需要PreparedStatement，而不是使用Statement。