1.Statrment存在的问题:
存在sql注入问题:拼接sql时,有一些sql的特殊关键字符与字符串的拼接,会造成的安全性问题,如 任意用户,输入密码:a’ or ‘a’ = 'a,存在恒等式,不能判断有错误。
2.解决办法:
引入prepareStatement对象。
3.使用区别:
定义sql语句时使用占位符?来代替具体数据;
执行sql语句前需要填充占位符。
//2.定义sql
String sql = "select * from user where username = ? and password = ?";
//3.获取执行sql语句的对象PrepareStatement
PrepareStatement preparedStatement = connection.prepareStatement(sql);
//4.填充占位符
preparedStatement.setString(1,username);
preparedStatement.setString(2,password);
//5.执行sql
resultSet = preparedStatement.executeQuery();