JDBC--使用PrepareStatement

最新推荐文章于 2024-04-28 07:10:47 发布
最新推荐文章于 2024-04-28 07:10:47 发布
阅读量119 收藏
点赞数
原文链接：https://my.oschina.net/daowuming/blog/704432
版权

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

一、PrepareStatement

PrepareStatement是 Statement的子接口，可以传入带占位符的 SQL语句，提供了补充占位符变量的方法。

使用 prepareStatement：

1. 创建 PrepareStatement对象

  • String sql = "INSERT INTO Student VALUES(?,?,?,?,?,?)";
  • PrepareStatement ps = conn.prepareStatement(sql);

2. 调用 PrepareStatement的 setXxx(int index, Object val) 设置占位符的值，索引值从1开始。
3. 执行 SQL语句： executeQuery() 或 executeUpdate().。执行时不需要再传入 SQL 语句。

二、使用带占位符的SQL语句

    /**
     * PrepareStatement是 Statement的子接口，可以传入带占位符的 SQL语句
     * 提供了补充占位符变量的方法。
     *
     * 使用 prepareStatement：
     * 1. 创建 PrepareStatement对象
     *    String sql = "INSERT INTO Student VALUES(?,?,?,?,?,?)";
     *    PrepareStatement ps = conn.prepareStatement(sql);
     * 2. 调用 PrepareStatement的 setXxx(int index, Object val) 设置占位符的值
     *    索引值从1开始。
     * 3. 执行 SQL语句： executeQuery() 或 executeUpdate().
     *    执行时不需要再传入 SQL 语句。
     */
    @Test
    public void test8() {
        Connection conn = null;
        PreparedStatement preparedStatement = null;
         try {
             //获取数据库连接
             conn = getConnection2();
             //设置 SQL语句
             String sql = "INSERT INTO Student(Sno, Sname, Ssex, Sage, Sdept, S_entrance) " +
                          "VALUES(?,?,?,?,?,?)";
             //为占位符赋值
             preparedStatement = conn.prepareStatement(sql);
             preparedStatement.setString(1, "201415411");
             preparedStatement.setString(2, "李明");
             preparedStatement.setString(3, "男");
             preparedStatement.setInt(4, 20);
             preparedStatement.setString(5, "CS");
             preparedStatement.setDate(6, Date.valueOf("2014-09-09"));
             //执行 SQL语句
             preparedStatement.executeUpdate();
         } catch(Exception e) {
             e.printStackTrace();
         } finally {
             if(preparedStatement != null) {
                 try {
                     preparedStatement.close();
                 } catch(Exception e) {
                     e.printStackTrace();
                 }
             }
             if(conn != null) {
                 try {
                     conn.close();
                 } catch(Exception e) {
                     e.printStackTrace();
                 }
             }
         }
    }


    //getConnection2()方法
    public Connection getConnection2() throws Exception {
        //1.准备连接数据库的4个字符串
        //1.1 创建Properties对象
        Properties properties = new Properties();
        //1.2 获取jdbc.properties对应的输入流
        java.io.InputStream in = this.getClass().getClassLoader().getResourceAsStream("jdbc.properties");
        //1.3 加载文件
        properties.load(in);
        //1.4 给字符串赋值
        String driver = properties.getProperty("driver");
        String jdbcUrl = properties.getProperty("jdbcUrl");
        String user = properties.getProperty("user");
        String password = properties.getProperty("password");
        //2.加载数据库驱动程序（对应的Driver实现类中有注册驱动的静态代码块）
        Class.forName(driver);
        //3.通过DriverManager的getConnection方法获取数据库连接
        return DriverManager.getConnection(jdbcUrl, user, password);
    }

三、SQL 注入攻击

SQL 注入是利用某些系统没有对用户输入的数据进行充分的检查，而在用户输入数据中注入非法的 SQL 语句段或命令，从而利用系统的 SQL 引擎完成恶意行为的做法。

对于 Java 而言，要防范 SQL 注入，只要用 PreparedStatement 取代 Statement 就可以了。

如下程序，使用Statement，有SQL注入风险

    /**
     * 用户表中有两列：用户username和密码password
     * 只有当用户和密码都正确时，登陆成功，否则不成功
     * 
     */
    @Test
    public void test9() {
        //当用户名和密码设置如下，表中不存在这个用户名和密码，但是任然可以登录成功
        String username = "a' OR password = ";
        String userpassword = " OR '1'='1";

        String sql = "SELECT * FROM Users WHERE username = '" +
                     username +"' AND " +
                     "password= '" + userpassword + "'";
        Connection conn = null;
        Statement statement = null;
        ResultSet resultSet = null;

        try {
            conn = getConnection2();
            statement = conn.createStatement();
            resultSet = statement.executeQuery(sql);
            if(resultSet.next()) {
                System.out.println("登陆成功！");
            } else {
                System.out.println("用户名和密码不匹配或用户不存在");
            }
        } catch(Exception e) {
            e.printStackTrace();
        } finally {
            if(resultSet != null) {
                try {
                    resultSet.close();
                } catch(Exception e) {
                    e.printStackTrace();
                }
            }
            if(statement != null) {
                try {
                    statement.close();
                } catch(Exception e) {
                    e.printStackTrace();
                }
            }
            if(conn != null) {
                try {
                    conn.close();
                } catch(Exception e) {
                    e.printStackTrace();
                }
            }
        }
    }

当用户名和密码这样设置时：

String username = "a' OR password = ";
String userpassword = " OR '1'='1";

尽管表中没有这个用户名和密码，但依然可以登录，此时SQL语句为：

SELECT * FROM Student WHERE username = 'a' OR password = ' AND Sno= ' OR '1'='1'

如上，username的值为 a，password的值为 AND Sno=。整个WHERE条件是或条件判断，而 '1'='1' 是恒成立的，所以这条语句会执行。

使用PreparedStatement，将有效的解决注入问题

    /**
     * 使用 PreparedStatement将有效的解决注入问题
     *
     */
    @Test
    public void test10() {
        String username = "a' OR Sno = ";
        String userpassword = " OR '1'='1";

        String sql = "SELECT * FROM Users WHERE username = ?" +
                " AND password= ?";

        Connection conn = null;
        PreparedStatement preparedStatement = null;
        ResultSet resultSet = null;

        try {
            conn = getConnection2();
            preparedStatement = conn.prepareStatement(sql);

            preparedStatement.setString(1, username);
            preparedStatement.setString(2, userpassword);
            resultSet = preparedStatement.executeQuery();
            if(resultSet.next()) {
                System.out.println("登陆成功！");
            } else {
                System.out.println("用户名和密码不匹配或用户不存在");
            }
        } catch(Exception e) {
            e.printStackTrace();
        } finally {
            if(resultSet != null) {
                try {
                    resultSet.close();
                } catch(Exception e) {
                    e.printStackTrace();
                }
            }
            if(preparedStatement != null) {
                try {
                    preparedStatement.close();
                } catch(Exception e) {
                    e.printStackTrace();
                }
            }
            if(conn != null) {
                try {
                    conn.close();
                } catch(Exception e) {
                    e.printStackTrace();
                }
            }
        }
    }

四、PreparedStatement 能最大可能提高性能

  • DBServer会对预编译语句提供性能优化。因为预编译语句有可能被重复调用，所以语句在被DBServer的编译器编译后的执行代码被缓存下来，那么下次调用时只要是相同的预编译语句就不需要编译，只要将参数直接传入编译过的语句执行代码中就会得到执行。
  • 在statement语句中,即使是相同操作但因为数据内容不一样,所以整个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句编译后的执行代码缓存.这样每执行一次都要对传入的语句编译一次. 
  • (语法检查，语义检查，翻译成二进制命令，缓存)

 

 

JDBC学习笔记：

1. 获取数据库连接    http://my.oschina.net/daowuming/blog/704243

2. 通过Statement执行更新、查询操作    http://my.oschina.net/daowuming/blog/704384

3. 使用PrepareStatement    ----当前----

4. 使用ResultSetMetaData 对象处理结果集元数据    http://my.oschina.net/daowuming/blog/704487

5. 使用DatabaseMetaData获取数据库信息    http://my.oschina.net/daowuming/blog/704553

6. BLOB    http://my.oschina.net/daowuming/blog/704593

7. 处理事务与隔离级别    http://my.oschina.net/daowuming/blog/704611

8. 批量处理    http://my.oschina.net/daowuming/blog/704641

9. 数据库连接池    http://my.oschina.net/daowuming/blog/704700

10. 调用函数与存储过程    http://my.oschina.net/daowuming/blog/704813

转载于:https://my.oschina.net/daowuming/blog/704432

weixin_34174322
关注
使用prepareStatement来实现对数据库的插入操作
有上进心的阿龙
12-05 1898
1、使用prepareStatement 2、数据库的字段中有String和Date类型 3、使用Properties来读取文件中的key-value 4、占位符？的使用 代码： package test_video_kang.test01; import org.junit.Test; import java.io.IOException; import java.io.InputStream; import java.sql.Connection; import java.sql.DriverMan
JDBC--PrepareStatement对象-程序
dreamflygril的博客
06-02 596
运行第一个JDBC程序时成功加载到数据库中内容，但程序还有不足之处，具体改进如下： 1.注册驱动 为了避免数据库驱动被重复注册，只需要在程序中加载驱动类即可 Class.forName("com.mysql.jdbc.Driver); 2.释放资源 当数据库资源使用完毕后，一定要释放资源 3.prepareStatement对象 SQL语句的执行时通过Statement对象实现的。S
JDBC(用PrepareStatement实现)
01-15
用JDBC实现Java与数据库的连接，该文件使用PrepareStatement实现。
使用PrepareStatement
qq_34983808的博客
08-31 218
包结构： 第一步：编写获取连接工具类package com.atguigu.jdbc;import java.io.IOException; import java.io.InputStream; import java.sql.Connection; import java.sql.DriverManager; import java.sql.ResultSet; import java.s
prepareStatement的使用
weixin_44720982的博客
05-06 4649
使用prepareStatement完成数据库增删改查功能
jdbc----preparestatement的简单使用
qq_28384753的博客
07-28 312
package com.cn21.exception; import java.sql.DriverManager; import java.sql.SQLException; import com.mysql.jdbc.Connection; import com.mysql.jdbc.PreparedStatement; public class JDBC_exception { /*
JDBC PrepareStatement 使用（附各种场景 demo）
01-14
本资源主要涵盖了使用JDBC PrepareStatement进行MySQL数据库操作的各种场景，包括基本的查询、更新以及批量处理。 首先，我们来看一下JDBC连接MySQL的步骤。在Java程序中，我们需要导入相应的JDBC驱动，例如`...
jdbc--Statement和PreparedStatment以及事务
yun_ld的博客
06-29 2369
1.什么是JDBC 　　JDBC（Java Data Base Connectivity,java数据库连接）是一种用于执行SQL语句的Java API，可以为多种关系数据库提供统一访问，它由一组用Java语言编写的类和接口组成。JDBC提供了一种基准，据此可以构建更高级的工具和接口，使数据库开发人员能够编写数据库应用程序。 2.数据库驱动 　　我们安装好数据库之后，我们的应用程序也是不能直...
jdbc.rar_java jdbc_java 数据库 连接_jdbc_jdbc-odbc_数据 插入 删除
09-23
PreparedStatement pstmt = conn.prepareStatement(sql); pstmt.setString(1, "John Doe"); pstmt.setString(2, "john.doe@example.com"); pstmt.executeUpdate(); ``` `PreparedStatement`对象可以防止SQL...
【JDBC-Hive】使用JDBC操作Hive数据库_jdbc操作hive到本地
最新发布
2401_84165919的博客
04-28 770
难做到真正的技术提升。//Hive连接信息。### 2.2.删除。//Hive连接信息。### 2.3.修改。//Hive连接信息。
prepareStatement基本用法
weixin_42353562的博客
08-02 456
1.PreparedStatement是预编译的,对于批量处理可以大大提高效率. 也叫JDBC存储过程 2.使用 Statement 对象。在对数据库只执行一次性存取的时侯，用 Statement 对象进行处理。PreparedStatement 对象的开销比Statement大，对于一次性操作并不会带来额外的好处。 3.statement每次执行sql语句，相关数据库都要执行sql语句的编译...
JDBC:Statement与prepareStatement的用法
weixin_48456383的博客
03-10 192
statement 、prepareStatement的用法和解释_cyywxy的博客-CSDN博客_preparestatement的用法转自：http://blog.csdn.net/QH_JAVA/article/details/48245945 一、prepareStatement 的用法和解释1.PreparedStatement是预编译的,对于批量处理可以大大提高效率. 也叫JDBC存储过程...https://blog.csdn.net/cyywxy/article/details/79311
JDBC入门（二）：PrepareStatement对象
qq_42423373的博客
12-19 247
1.Statrment存在的问题： 存在sql注入问题：拼接sql时，有一些sql的特殊关键字符与字符串的拼接，会造成的安全性问题，如 任意用户，输入密码：a’ or ‘a’ = 'a，存在恒等式，不能判断有错误。 2.解决办法： 引入prepareStatement对象。 3.使用区别： 定义sql语句时使用占位符？来代替具体数据； 执行sql语句前需要填充占位符。 //2.定义sql String sql = "select * from user where username = ? and pass
prepareStatement的用法和解释
热门推荐
苇草的博客
03-10 1万+
1.PreparedStatement是预编译的,对于批量处理可以大大提高效率. 也叫JDBC存储过程2.使用 Statement 对象。在对数据库只执行一次性存取的时侯，用 Statement 对象进行处理。PreparedStatement 对象的开销比Statement大，对于一次性操作并不会带来额外的好处。3.statement每次执行sql语句，相关数据库都要执行sql语句的编译，pre...
JDBC中使用PreparedStatement语句
血色残阳的专栏
12-22 847
import java.sql.Connection;import java.sql.DriverManager;import java.sql.ResultSet;import java.sql.SQLException;import java.sql.Statement;import java.sql.PreparedStatement;public class TestDML2 ...{
JDBC中 statement 和preparestatement区别
LiangEdward的博客
07-25 675
https://www.cnblogs.com/weiyi1314/p/6638483.html 个人总结：
PreparedStatement 查询时无效的列索引
linwei_1029的专栏
05-31 9752
<br />PreparedStatement 查询时无效的列索引 <br />在使用PreparedStatement  仅对oracle数据库进行查询是在   ps.setObject(i, values[i]);总是提示无效的列索引<br />错误代码代码 <br />public List queryForBeans(final String sql, final Object... values)  {   <br />        Connection connection = null;  
JAVA【JDBC】【使用PreparedStatement操作数据库】
芊樱烛渊的博客
08-07 4885
这里我们是先连接到了我们上述的数据表，然后将数据表中的user和password的内容独取出来，然后编成sql语句，交给我们的mysql，并且如果查询失败就返回用户名不存在或者密码错误，如果查询成功就返回登陆成功。针对于不同的表我们想要获取到的查询数据的结构一定是不同的，所以我们需要在查询的时候将我们查询的结构传入，然后利用反射机制构造出对应的对象，然后将对应的对象返回。原来我们想表达的是 xx and xx是一个并且的关系，也就是我们的use和password同时正确的时候才返回结果。...
PrepareStatement用法（附源码解析）
Sherlock1020的博客
08-11 5710
PrepareStatement 基本用法 与 SQL注入分析
mybatis plus 集成neo4j-jdbc-driver
05-23
PreparedStatement statement = connection.prepareStatement(sql)) { // 设置参数 ParameterHandler parameterHandler = new DefaultParameterHandler(mappedStatement, parameter, boundSql); ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值