苦尽甘来 一个月学通JavaWeb（三十六 数据库）

夜光序言：

天真的岁月里，我们种下一生的缘分。此时的我们，对未来一无所知。树影摇晃，轻风阵阵，吹动我们彼此的心。曾经受伤，曾经迷茫，曾经彷徨，还会受伤，还会迷茫，还会彷徨。即使如此，多少年后，我仍可以说，这段岁月，有你相伴真好。

 

 

正文：

ResultSet结构图解：

微微一笑：我们来看看SQL攻击

1　什么是SQL攻击

在需要用户输入的地方，用户输入的是SQL语句的片段，最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句~~

例如用户在登录时输入的用户名和密码都是为SQL语句的片段~~嘿哈

 

2　演示SQL攻击

首先我们需要创建一张用户表，用来存储用户的信息。

CREATE TABLE user( uid CHAR(11) PRIMARY KEY, username VARCHAR(10) UNIQUE KEY NOT NULL, PASSWORD VARCHAR(11) );   INSERT INTO user VALUES('Key_1001', 'q', 'q'); SELECT * FROM user;

现在用户表中只有一行记录，就是q。

下面我们写一个login()方法~~

public void login(String username, String password) { Connection con = null; Statement stmt = null; ResultSet rs = null; try { con = JdbcUtils.getConnection(); stmt = con.createStatement(); String sql = "SELECT * FROM user WHERE " + "username='" + username + "' and password='" + password + "'"; rs = stmt.executeQuery(sql); if(rs.next()) { System.out.println("hi~~欢迎" + rs.getString("username")); } else { System.out.println("Genius：用户名或密码错误"); } } catch (Exception e) { throw new RuntimeException(e); } finally { JdbcUtils.close(con, stmt, rs); } }

 

下面是调用这个方法的代码：

login("a' or 'a'='a", "a' or 'a'='a");

 

这行当前会使我们登录成功~~

因为是输入的用户名和密码是SQL语句片段，最终与我们的login()方法中的SQL语句组合在一起~~

我们来看看组合在一起的SQL语句：

SELECT * FROM tab_user WHERE username='a' or 'a'='a' and password='a' or 'a'='a'

 

3　防止SQL攻击

1. 过滤用户输入的数据中是否包含非法字符；
2. 分步交验~~先使用用户名来查询用户，如果查找到了，再比较密码；
3. 使用PreparedStatement。

 

4 PreparedStatement是什么？

PreparedStatement叫预编译声明

PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。

PreparedStatement的好处：

1. 防止SQL攻击；
2. 提高代码的可读性，以可维护性；
3. 提高效率。

 

5 PreparedStatement的使用

1. 使用Connection的prepareStatement(String sql)：即创建它时就让它与一条SQL模板绑定；
2. 调用PreparedStatement的setXXX()系列方法为问号设置值
3. 调用executeUpdate()或executeQuery()方法，但要注意，调用没有参数的方法；

 

String sql = “select * from tab_student where s_number=?”; PreparedStatement pstmt = con.prepareStatement(sql); pstmt.setString(1, “Key_1001”); ResultSet rs = pstmt.executeQuery(); rs.close(); pstmt.clearParameters(); pstmt.setString(1, “Key_1002”); rs = pstmt.executeQuery();

 

    在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。

    在得到PreparedStatement对象后，调用它的setXXX()方法为“?”赋值，这样就可以得到把模板变成一条完整的SQL语句，然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。

    注意PreparedStatement对象独有的executeQuery()方法是没有参数的，而Statement的executeQuery()是需要参数（SQL语句）的。

    因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了，所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。

 

PreparedStatement最大的好处就是在于重复使用同一模板，给予其不同的参数来重复的使用它。这才是真正提高效率的原因。

 

 

夜光:

所以，建议大家在今后的开发中，无论什么情况，都去需要PreparedStatement，而不是使用Statement。