JDBC学习

一.JDBC介绍

JDBC（Java DataBase Connectivity）是Java和数据库之间的一个桥梁，是一个规范而不是一个实现，能够执行SQL语句。
它由一组用Java语言编写的类和接口组成。
各种不同类型的数据库都有相应的实现，本文中的代码都是针对MySQL数据库实现的。

二.JDBC编程步骤

1.注册驱动

try {
    Class.forName("com.mysql.jdbc.Driver");		
} catch (ClassNotFoundException e) { 				
    e.printStackTrace();
}

Class.forName是把这个类加载到JVM中，加载的时候，就会执行其中的静态初始化块，完成驱动的初始化的相关工作。
类中的静态代码块会随着类的调用被加载,且只加载一次

2.获取连接

这里需要提供：数据库服务端的IP地址:127.0.0.1 (这是本机，如果连接其他电脑上的数据库，需填写相应的IP地址)
数据库的端口号： 3306 （mysql专用端口号）
数据库名称 exam（根据你自己数据库中的名称填写）
编码方式 UTF-8
账号 root
密码 admin（如果你在创建数据库的时候没有使用默认的账号和密码，请填写自己设置的账号和密码）

Connection c = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/exam?characterEncoding=UTF-8", "root", "admin");

Connection是与特定数据库连接回话的接口，使用的时候需要导包，而且必须在程序结束的时候将其关闭。getConnection方法也需要捕获SQLException异常。

因为在进行数据库的增删改查的时候都需要与数据库建立连接，所以可以在项目中将建立连接写成一个工具方法，用的时候直接调用即可：

        /**
	 * 取得数据库的连接
	 * @return 一个数据库的连接
	 */
public static Connection getConnection(){
		Connection conn = null;
		 try {
			 	//初始化驱动类com.mysql.jdbc.Driver
	            Class.forName("com.mysql.jdbc.Driver");
	            conn = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/exam?characterEncoding=UTF-8","root", "admin");
	            //该类就在 mysql-connector-java-5.0.8-bin.jar中,如果忘记了第一个步骤的导包，就会抛出ClassNotFoundException
	        } catch (ClassNotFoundException e) { 				
	            e.printStackTrace();
	        }catch (SQLException e) {							
	            e.printStackTrace();
	        }
		 return conn;
	}

3.创建Statement或者PreparedStatement接口，执行SQL语句

(1)使用Statement接口

Statement接口创建之后，可以执行SQL语句，完成对数据库的增删改查。其中 ，增删改只需要改变SQL语句的内容就能完成，然而查询略显复杂。在Statement中使用字符串拼接的方式，该方式存在句法复杂，容易犯错等缺点，具体在下文中的对比中介绍。所以Statement在实际过程中使用的非常的少，所以具体的放到PreparedStatement那里给出详细代码。

Statement s = conn.createStatement();
// 准备sql语句
// 注意： 字符串要用单引号'
String sql = "insert into t_courses values(null,"+"'数学')";
//在statement中使用字符串拼接的方式，这种方式存在诸多问题
s.execute(sql);
System.out.println("执行插入语句成功");

(2)使用PreparedStatement接口

与 Statement一样，PreparedStatement也是用来执行sql语句的.
与创建Statement不同的是，需要根据sql语句创建PreparedStatement。除此之外，还能够通过设置参数，指定相应的值，而不是Statement那样使用字符串拼接。

给数据库中添加课程：

        /**
	 * 添加课程
	 * @param courseName 课程名称
	 */
	public void addCourse(String courseName){
		String sql = "insert into t_course(course_name) values(?)";  
 //该语句为每个 IN 参数保留一个问号（“？”）作为占位符
		Connection conn = null;				//和数据库取得连接
		PreparedStatement pstmt = null;		//创建statement
		try{
			conn = DbUtil.getConnection();
			pstmt = (PreparedStatement) conn.prepareStatement(sql);
			pstmt.setString(1, courseName); //给占位符赋值
			pstmt.executeUpdate();			//执行
		}catch(SQLException e){
			e.printStackTrace();
		}
		finally{
			DbUtil.close(pstmt);
			DbUtil.close(conn);		//必须关闭
		}
	}

4.处理和显示结果

执行查询语句，并把结果集返回给集合ResultSet

ResultSet rs = s.executeQuery(sql);

利用While(ResultSet.next()){…}循环将集合ResultSet中的结果遍历出来。

5.释放资源

在JDBC编码的过程中我们创建了Connection、ResultSet等资源，这些资源在使用完毕之后是一定要进行关闭的。关闭的过程中遵循从里到外的原则。因为在增删改查的操作中都要用到这样的关闭操作，为了使代码简单，增加其复用性，这里我将这些关闭的操作写成一个方法和建立连接的方法一起放到一份工具类中。

/**
	 * 封装三个关闭方法
	 * @param pstmt
	 */
	public static void close(PreparedStatement pstmt){
		if(pstmt != null){						//避免出现空指针异常
			try{
				pstmt.close();
			}catch(SQLException e){
				e.printStackTrace();
			}
			
		}
	}
	
	public static void close(Connection conn){
		if(conn != null){
			try {
				conn.close();
			} catch (SQLException e) {
				// TODO: handle exception
				e.printStackTrace();
			}
		}
	}
	
	public static void close(ResultSet rs){
		if (rs != null) {
			try {
				rs.close();
			} catch (SQLException e) {
				// TODO: handle exception
				e.printStackTrace();
			}
		}
	}

三.其他

1.Statement和PreparedStatement的异同及优缺点

同：

两者都是用来执SQL语句的

异：

PreparedStatement需要根据SQL语句来创建，它能够通过设置参数，指定相应的值，不是像Statement那样使用字符串拼接的方式。

PreparedStatement的优点：

1、其使用参数设置，可读性好，不易记错。在statement中使用字符串拼接，可读性和维护性比较差。

2、其具有预编译机制，性能比statement更快。

3、其能够有效防止SQL注入攻击。

注:sql注入是指利用sql编译进行攻击:用户名和密码随便写,在密码后面加一个恒成立的字符串,由于or的特性,就会成功访问数据库,一般黑客会这样做
例子:select * from student where username=‘heike’ and password=‘heike’ or ‘1==1’;

什么时候会用到Statement

当需要用到sql注入的时候,比如购物网站的价格升序asc降序desc,需要使用sql注入实现

例子:查询商品表中所有商品信息,按销量降序排序

SELECT * FROM `item` ORDER BY sales DESC;

(1)如果使用Statement:

SELECT * FROM `item` ORDER BY sales DESC;

(2)如果使用PreparedStatement:

SELECT * FROM `item` ORDER BY sales ?; 
ps.setString(1, DESC);

这样操作之后得到的sql语句是

SELECT * FROM `item` ORDER BY sales 'DESC';

因为PreparedStatement会自动在添加的字符串上加双引号,这样得到的sql语句无法实现降序查询

2.execute()、executeQuery()、executeUpdate()的区别

以下文字来自:csdn

接口Statement中定义的：

execute():方法的返回类型是Boolean，表示有无ResultSet返回；
executeQuery():方法返回的类型是ResultSet，返回执行了查询语句的结果，通常用于执行查询语句；
executeUpdate():返回的类型是int，表示执行了sql语句后被影响到的行数，通常用于执行修改语句。