java数据库编程（5） 使用preparedStatement

最新推荐文章于 2022-07-23 08:14:32 发布
最新推荐文章于 2022-07-23 08:14:32 发布
阅读量435 收藏 2
点赞数
本文详细介绍了PreparedStatement在Java中的使用方法，对比了其与Statement的区别，特别是在性能提升和防止SQL注入方面的优势。通过实例展示了如何使用PreparedStatement执行SQL语句，以及在用户验证场景下如何避免SQL注入攻击。
摘要由CSDN通过智能技术生成
  1. preparedStatement是一种带有占位符（？）的sql语句，它可以将预编译的sql语句存储起来，然后可以使用这个预编译好的sql语句多次高效地执行传入具体参数的sql语句。
  2. 例如执行 insert into table xxx values(1);  insert into table xxx values(2); ... 这样结构相同，只是具体的数据不通过的语句，就可以使用PreparedStatement对象将一个insert into table xxx valuse(?);预编译好，然后再在具体执行的时候调用PreparedMent对象的setInt（1，x）;方法传入具体的值。   这里的1是指第一个？。
  3. 具体的讲解穿插在代码中。 
    import java.io.FileInputStream;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.Statement;
import java.util.Properties;

public class PreparedStatementTest {
    private String driver;
    private String  url;
    private String user;
    private String pass;

//    通过读取属性问价来获得属性
    public void iniParam(String paramFile) throws Exception{
        Properties properties = new Properties();

//       以输入流的方式打开属性文件
        properties.load(new FileInputStream(paramFile));

//        依次读取属性文件里的各种属性
        driver = properties.getProperty("driver");
        url= properties.getProperty("url");
        user = properties.getProperty("user");
        pass = properties.getProperty("pass");
        Class.forName(driver);
    }

//    这是通过常规的方式将一百条记录添加到表中。
    public void insertUserStatement() throws Exception{
        long start = System.currentTimeMillis();
        try(
//                先获得数据库链接Connection对象，并且通过这个数据库链接创建Statement对象，在由statement对象来执行sql语句
                Connection connection  = DriverManager.getConnection(url,user,pass);
                Statement statement  = connection.createStatement()
                ){
            for(int i=0; i<100; i++){
//                执行一百次添加数据。
                statement.executeUpdate("insert into insert100 values(i)");
            }
            System.out.println("使用Statement费时：" + (System.currentTimeMillis()-start));
        }
    }


//    通过PreparedStatement来添加一百条记录
    public void inserUserPrepare() throws Exception{
        long start = System.currentTimeMillis();
        try(
//                PreparedStatement同样是通过Connection对象来或获得的。
//                具体的构造方法是将要执行的sql语句传进其构造方法里。但是要将具体的数据用？代替
//                然后再在具体执行sql语句的时候将？代替成具体的值
                Connection connection = DriverManager.getConnection(url,user,pass);

                PreparedStatement preparedStatement =
                        connection.prepareStatement("insert into insert100 values(?)"))
                {
                    for(int i=0; i<100; i++){
                        preparedStatement.setInt(1,i);
                        preparedStatement.execute();
                    }
                    System.out.println("使用PreparedStatement费时" + (System.currentTimeMillis() - start));
        }

    }

    public static void main(String args[]) throws Exception{
        PreparedStatementTest preparedStatementTest  = new PreparedStatementTest();
        preparedStatementTest.iniParam("mysql.ini");
        preparedStatementTest.insertUserStatement();a
        preparedStatementTest.inserUserPrepare();
    }
}
//运行上面程序，看到以下输出：
//        使用Statement费时：5000
//        使用PreparedStatement费时4094

     

  4. 使用PreparedStatement不仅可以提高效率，而且可以防止sql注入。我理解的sql注入是使用一般的sql语句处理过程中如果用户输入的内容不是合法信息，但是可以和系统预先设定的sql语句部分合成一条语法和逻辑都没有问题的sql语句。并让这条语句执行某种非法操作。

  5. 如下面这个例子，在不使用PreparedStatement的情况下，如果用户名输入‘or ture or'这样的内容的话，会显示登陆成功。

    import javax.swing.*;
import java.awt.*;
import java.awt.event.ActionEvent;
import java.io.FileInputStream;
import java.io.FileReader;
import java.sql.*;
import java.util.Properties;

public class LoginFrame {
    private final String PROP_FILE = "mysql.ini";
    private String driver;
    private String url;
    private String user;
    private String pass;

    private JFrame jf = new JFrame("登陆");
    private JTextField userField = new JTextField(20);
    private JTextField passField = new JTextField(20);
    private JButton loginButton = new JButton("登录");
    public void init() throws  Exception{
        Properties connProp = new Properties();
        connProp.load(new FileInputStream(PROP_FILE));
        driver = connProp.getProperty("driver");
        url = connProp.getProperty("url");
        user = connProp.getProperty("user");
        pass = connProp.getProperty("pass");
        Class.forName(driver);
        loginButton.addActionListener(new AbstractAction() {
            @Override
            public void actionPerformed(ActionEvent e) {
                if(validate(userField.getText(), passField.getText())){
                    JOptionPane.showMessageDialog(jf, "登陆成功");
                }else{
                    JOptionPane.showMessageDialog(jf, "登陆失败");
                }
            }
        });
        jf.add(userField, BorderLayout.NORTH);
        jf.add(passField);
        jf.add(loginButton, BorderLayout.SOUTH);
        jf.pack();
        jf.setVisible(true);
    }
    private boolean validate(String userName, String userPass){
        String sql = "select * from students where Sname = '" + userName + "' and Sno= '" + userPass + "';";
        System.out.println(sql);
        try(
                Connection connection = DriverManager.getConnection(url, user, pass);
                Statement statement = connection.createStatement();
                ResultSet rs = statement.executeQuery(sql))
        {
            if(rs.next()){
                return true;
            }
        }catch (Exception e){
            e.printStackTrace();
        }
        return false;
    }


    private boolean valicate1(String userName, String userPass){
        try(
                Connection conn = DriverManager.getConnection(url, user, pass);
                PreparedStatement pstmt = conn.prepareStatement(
                        "select * from students where Sname = ? and Sno = ?")){
            pstmt.setString(1, userName);
            pstmt.setString(2,userPass);
            try(
                    ResultSet rs = pstmt.executeQuery())
            {
                if(rs.next()){
                    return true;
                }
            }
        }catch (Exception e){
            e.printStackTrace();
        }
        return false;
    }



    public static void main(String args[]) throws Exception{
        new LoginFrame().init();
    }





}

    这是因为当输入 'or ture or'之后，“拼接而成”的sql语句为 

    select * from students where Sname = '‘or true or’' and Sno= '';

    这样的语句是返回true的。

  6. 当使用了PaparedStatememt之后，用户输入的内容只能是代替了‘’里的内容 ，所以也就不存在sql注入了。

    import javax.swing.*;
import java.awt.*;
import java.awt.event.ActionEvent;
import java.io.FileInputStream;
import java.io.FileReader;
import java.sql.*;
import java.util.Properties;

public class LoginFrame {
    private final String PROP_FILE = "mysql.ini";
    private String driver;
    private String url;
    private String user;
    private String pass;

    private JFrame jf = new JFrame("登陆");
    private JTextField userField = new JTextField(20);
    private JTextField passField = new JTextField(20);
    private JButton loginButton = new JButton("登录");
    public void init() throws  Exception{
        Properties connProp = new Properties();
        connProp.load(new FileInputStream(PROP_FILE));
        driver = connProp.getProperty("driver");
        url = connProp.getProperty("url");
        user = connProp.getProperty("user");
        pass = connProp.getProperty("pass");
        Class.forName(driver);
        loginButton.addActionListener(new AbstractAction() {
            @Override
            public void actionPerformed(ActionEvent e) {
                if(valicate1(userField.getText(), passField.getText())){
                    JOptionPane.showMessageDialog(jf, "登陆成功");
                }else{
                    JOptionPane.showMessageDialog(jf, "登陆失败");
                }
            }
        });
        jf.add(userField, BorderLayout.NORTH);
        jf.add(passField);
        jf.add(loginButton, BorderLayout.SOUTH);
        jf.pack();
        jf.setVisible(true);
    }
    private boolean validate(String userName, String userPass){
        String sql = "select * from students where Sname = '" + userName + "' and Sno= '" + userPass + "';";
        System.out.println(sql);
        try(
                Connection connection = DriverManager.getConnection(url, user, pass);
                Statement statement = connection.createStatement();
                ResultSet rs = statement.executeQuery(sql))
        {
            if(rs.next()){
                return true;
            }
        }catch (Exception e){
            e.printStackTrace();
        }
        return false;
    }


    private boolean valicate1(String userName, String userPass){
        try(
                Connection conn = DriverManager.getConnection(url, user, pass);
                PreparedStatement pstmt = conn.prepareStatement(
                        "select * from students where Sname = ? and Sno = ?")){
            pstmt.setString(1, userName);
            pstmt.setString(2,userPass);
            try(
                    ResultSet rs = pstmt.executeQuery())
            {
                if(rs.next()){
                    return true;
                }
            }
        }catch (Exception e){
            e.printStackTrace();
        }
        return false;
    }



    public static void main(String args[]) throws Exception{
        new LoginFrame().init();
    }





}

  7. 总的看来PreparedStetement比一般的sql语句处理有两个有点

    1. 它是采用预编译的原理，性能更好。

    2. 可以防止sql注入，安全性更高。

这是我看李刚编著的《疯狂Java讲义》后总结出来的。

林敏锐丶
关注
专栏目录
Java.sql的接口PreparedStatement使用
青青青的博客
05-09 3万+
自学java，学到数据库这一节了，涉及到JDBC开发，对于PreparedStatement的使用有一点不理解，在查看了一些大牛的文章，自己也尝试着把自己理解的内容写一下，就当给自己做个备注吧，有错误的还请指正，谢谢。谈到PreparedStatement的使用，就得先了解以下它和Statement得区别和联系。查看JDK API不难得知，PreparedStatement接口是继承自Statem...
PreparedStatement的用法
Dracocc的博客
02-18 7891
一个PreparedStatement是从java.sql.connection对象和所提供的sql字符串得到的，sql字符串中包含问号（?），这些问号标明变量的位置，然后提供变量的值，最后执行语句，例如： String sql = "select id,name from student where id=? andname=?"; PreparedStatement ps =conn.
JAVA基础 之 PreparedStatement
snkcxy的博客
03-02 135
概述：     1.本文为了代码结构清晰 采用的是try-with-resource结构，请在java7下使用（或者自己改成普通模式）     2.预编译的sql语句存储在PreparedStatement对象中，所以PreparedStatement的执行效率要高于Statement     3.使用占位符（?）的方式，使得重复的结构重复的语句不用重复的编写        例如：Sta...
java sql.setInt_java – PreparedStatement的setInt()无法在PostgreSQL上运行
weixin_29435467的博客
03-06 966
我在Eclipse上使用PostgreSQL 9.1和Tomcat 7.连接是通过连接池进行的.当我为PreparedStatement使用setInt()方法时,不返回任何内容.打印PreparedStatement时,’？’被一些奇怪的String取代我想是对象的引用.当我使用方法setObject()和相应的Type.INTEGER时,打印的语句包含正确的值但是作为String,并强制要求I...
Java PreparedStatement
kiven
07-13 2336
PreparedStatement是一个用于执行sql语句的标准接口的对象。它是继承与Statement。根据里氏代换原则。用Statement执行的语句，一定可以用Prepared替换了。那么他们之间有什么不同呢。 PreparedStatement 使用参数化的方式，可以用？表明变量的值位置，执行时根据位置提供变量的值。该对象是预编译的，多次执行的效率高安全性方面，高于Statem
Accp8.0\S2\使用Java实现数据库编程 第二章
03-03
在“Accp8.0\S2\使用Java实现数据库编程 第二章”这一主题中，我们聚焦于如何利用Java语言进行数据库编程。这通常涉及到Java的JDBC（Java Database Connectivity）技术，它是Java平台的标准接口，允许Java应用程序...
Java数据库编程PPT
最新发布
12-23
本文将深入探讨Java数据库编程的关键概念，重点关注MySQL数据库的使用以及SQL语言的基础。 首先，MySQL是一个广泛使用的开源关系型数据库管理系统，尤其在开发Java Web应用时，与Apache Tomcat服务器配合得非常默契...
Java数据库编程宝典
04-01
《Java数据库编程宝典》是一本深入探讨Java与数据库交互技术的专业书籍，旨在帮助开发者熟练掌握在Java环境中进行高效、安全的数据库编程。本书涵盖了从基础到高级的多个层次的知识点，包括JDBC（Java Database ...
S2使用Java实现数据库编程
10-09
通过提供的压缩包"使用Java实现数据库编程-1488176910082"，我们可以深入学习这一主题。 首先，Java与MySQL的交互主要依赖于JDBC（Java Database Connectivity），这是一个Java API，允许Java程序与各种数据库进行...
Accp8.0\S2\使用Java实现数据库编程 第八章
03-03
总的来说，"Accp8.0\S2\使用Java实现数据库编程 第八章"涵盖了Java数据库编程的关键概念和技术，对于想成为Java后端开发人员的学习者来说，是不可或缺的一部分。通过深入学习和实践，不仅可以掌握数据库操作，还能为...
java.sql.preparedstatement的应用
gyf4817的专栏
03-10 1566
jdbc(java database connectivity，java数据库连接)的api中的主要的四个类之一的java.sql.statement要求开发者付出大量的时间和精力。在使用statement获取jdbc访问时所具有的一个共通的问题是输入适当格式的日期和时间戳：2002-02-05 20:56 或者 02/05/02 8:56 pm。 通过使用java.sql.pre
preparedstatement方法
u010822824的专栏
03-30 1607
void addBatch() 将一组参数添加到此 PreparedStatement 对象的批处理命令中。 void clearParameters() 立即清除当前参数值。 boolean execute() 在此 PreparedStatement 对象中执行 SQL 语句，该语句可以是任何种类的 SQL 语句。 ResultSet executeQuery()
使用 PreparedStatement 插入记录的 Java 程序
allway2的博客
07-23 886
请注意，产品id是主键，因此不能重复，如果我们尝试插入与现有产品id相同的记录，那么Oracle服务器会返回错误ORA-00001违反唯一约束(SCOTT.SYS_C0012404).同样，当我们尝试为产品ID插入太大的值时，我们会收到错误ORA-12899。要插入记录，我们需要一个表，我们也可以使用现有的表。SQL查询将在整个应用程序中保持不变，因此，我们通常将SQL查询作为类顶部的字符串常量。在接下来的JDBC程序示例中，我们将更新，并显示表的记录。...
PreparedStatement中文资料
太康的专栏--156级台阶
12-01 1343
PreparedStatement 实例包含已编译的 SQL 语句。这就是使语句“准备好”。  包含于 PreparedStatement 对象中的 SQL 语句可具有一个或多个 IN 参数。IN 参数的值在 SQL 语句创建时未被指定。相反的，该语句为每个 IN 参数保留一个问号（“？”）作为占位符。每个问号的值必须在该语句执行之前，通过适当的 setXXX 方法来提供。  由于 Prepa
PreparedStatement.SetDate
lonely7345的专栏
04-28 3311
今天做到数据库这部分,想通过使用预备语句插入日期部分,一开始猜应该有PreparedStatement.setDate,就使用这个插入,而且我预选的值是java.util.Date结果说类型不符合后来,我改成PreparedStatement.setDate((java.sql.Date)date)强制转换,运行的时候还会出错,说转换不成功唉....后在在网上查到,可以通过下面
Java数据库编程---PreparedStatement接口
SkewRain的专栏
02-13 2133
PreparedStatement简介 PreparedStatement是Statement的子接口，属于预处理操作，与直接使用Statement不同的是，PreparedStatement在操作时，是先在数据表之中准备好了一条SQL语句，但是此SQL语句的具体内容暂时不设置，而是之后再进行设置，以插入数据为例，使用PreparedStatement插入数据时，数据表中的指针首先指向最后一条数
java中PreparedStatement类的setString用法
热门推荐
nc_yongyou的专栏
09-03 3万+
java中PreparedStatement类的setString用法 [ 标签：java, preparedstatement, 用法 ] 匿名 2009-05-15 14:40 文档中是这样写的void setString(int parameterIndex,String x) conn = DriverManager.getConnection(url, userName, pas
prepareStatement的用法和解释
artemical的博客
09-24 262
1.PreparedStatement是预编译的,对于批量处理可以大大提高效率. 也叫JDBC存储过程2.使用 Statement 对象。在对数据库只执行一次性存取的时侯，用 Statement 对象进行处理。PreparedStatement 对象的开销比Statement大，对于一次性操作并不会带来额外的好处。3.statement每次执行sql语句，相关数据库都要执行sql语句的编译，pr...
Java高级数据库编程：PreparedStatement与CallableStatement
本章主要聚焦于Java数据库编程，涵盖了数据库高级访问的相关技术和使用JDBC（Java Database Connectivity）的工作原理。首先，我们将深入了解JDBC的工作流程，包括如何获取数据库连接，执行SQL语句（如插入、查询、...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值