JDBC操作数据库

package com.lxz;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class StringAndDate2 {
	// 创建一个以JDBC连接数据库的方法
	public ResultSet getResultSet(String sql) {
		Connection conn = null;
		PreparedStatement ps = null;
		ResultSet rs = null;
		String url = "jdbc:mysql://localhost:3306/test?useUnicode=true&characterEncoding=UTF-8";
		String user = "root";
		String password = "123456";
		try {
			// 1.加载驱动类
			Class.forName("com.mysql.jdbc.Driver");
			// 或 new com.mysql.jdbc.Driver();
			// 2.创建连接
			conn = DriverManager.getConnection(url, user, password);
			// 3.创建PreparedStatement对象
			// 要执行sql语句，必须获得java.sql.Statement实例，Statement实例分为以下三种
			// (1)执行静态sql语句。通常通过Statement实例实现
			// Statement stmt = conn.createStatement();
			// (2)执行动态sql语句。通常通过PreparedStatement实例实现
			// PreparedStatement ps = conn.prepareStatement(sql);
			// (3)执行数据库存储过程。通常通过CallableStatement实例实现
			// CallableStatement cs = conn.prepareCall("{CALL demoSp(?,?)}");
			ps = conn.prepareStatement(sql);
			// 4.执行sql语句
			// Statement接口提供了三种执行sql语句的方法,executeQuery,executeUpdate,execute
			// (1) ResultSet executeQuery(String sqlString):执行查询数据库的SQL语句，返回一个
			// ResultSet对象
			// ResultSet rs = ps.executeQuery("SELECT * FROM ...");
			// (2) int executeUpdate(String
			// sqlString):用于执行INSERT/UPDATE/DELETE语句以及
			// sql DDL语句，如： CREATE TABLE和DROP TABLE等
			// int rows = ps.executeUpdate("INSERT INTO ...");
			// (3) execute(sqlString):用于执行返回多个结果集、多个更新或二者组合的语句
			// boolean flag = ps.execute(String sql);
			rs = ps.executeQuery();
			// 5.处理结果
			// (1) 执行更新等操作返回的是本次操作影响到的记录数
			// (2) 执行查询返回的结果是一个ResultSet对象
			// ResultSet包含sql语句中条件的所有行，通过get进行访问
			// while(rs.next()){
			// String name = rs.getString("name");
			// String pwd = rs.getString(1); //比较高效,从左右到编号，从1开始
			// }
		} catch (ClassNotFoundException e) {
			System.out.println("找不到驱动类");
			e.printStackTrace();
		} catch (SQLException e) {
			e.printStackTrace();
		} finally {
			// 5.关闭jdbc对象
			if (rs != null) {
				try {
					rs.close();
				} catch (SQLException e) {
					e.printStackTrace();
				}
			}
			if (ps != null) {
				try {
					ps.close();
				} catch (SQLException e) {
					e.printStackTrace();
				}
			}
			if (conn != null) {
				try {
					conn.close();
				} catch (SQLException e) {
					e.printStackTrace();
				}
			}
		}
		return rs;
	}

	// PreparedStatement与Statement的区别？
	// 1.代码的可读性和可维护性
	// stmt.executeUpdate("insert into tb_test(col1,col2,col3) values('"+var1+"','"+var2+"','"+var3+"')");
	// PreparedStatement
	// ps = conn.prepareStatement("insert into tb_test(col1,col2,col3) values(?,?,?)");
	// ps.setString(1,var1);
	// ps.setString(2,var2);
	// ps.setString(3,var3);
	// 2.PreparedStatement尽最大提高性能
	/*每一种数据库都会尽最大努力对预编译语句提供最大的性能优化，因为预编译语句有可能重复调用，所以语句在被数据库
	的编译器编译后，执行代码会被缓存下来，那么下次调用时只要是相同的预编译语句就不需要再编译，只要将参数直接传入编译过的
	语句执行代码中（相当于一个函数）就会得到执行，这并不是说只有一个Connection中多次执行的预编译语句被缓存，而是对整个
	数据库，只要预编译的语句语法和缓存在匹配，那么在任何时候就可以不需要再次编译而可以直接执行。而statement
	的语句中，即使是相同的同一操作，而由于每次操作的数据不同，所以使整个语句相匹配的机会极小，几乎不太可能匹配，比如：
	insert into tb_test(col1,col2) values('11','22');
	insert into tb_test(col1,col2) values('11','23');
	即使是相同操作但因为数据内容不一样,所以整个个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句
	编译后的执行代码缓存.这样每执行一次都要对传入的语句编译一次.
	当然并不是所以预编译语句都一定会被缓存,数据库本身会用一种策略,比如使用频度等因素来决定什么时候
	不再缓存已有的预编译结果.以保存有更多的空间存储新的预编译语句.*/
	// 3.提高安全性
	// String sql = "select * from tb_test where username='"+username+"' and password='"+password+"'";
	// 如果把(' or '1'='1)传入，则会查到所有信息
	// 甚至把(';drop table tb_test where '1'='1)传入,而恰恰有些数据库中这样就会执行
	// 如果使用预编译语句，则传入的任何内容就不会和原来的语句发生任何匹配的关系.(前提是数据库本身支持预编译)
	// 另：执行效率：Statement 采取直接编译 SQL 语句的方式，扔给数据库去执行，而 PreparedStatement 则先将 SQL语句预编译一遍，再填充参数，这样效率会高一些。
	// JDK文档说：SQL 语句被预编译并且存储在 PreparedStatement 对象中，其后可以使用该对象高效地多次执行该语句。
	// Statement 由于可能需要采取字符串与变量的拼接，很容易进行 SQL注入攻击，而 PreparedStatement 由于是预 
	// 编译，再填充参数的，不存在 SQL 注入问题。 
}