0.数据库中表的创建
1.配置文件
文件名:jdbc.properties
文件在src目录下,本程序用到了动态查询文件路径的方式读取文件的
url=jdbc:mysql:///db4
user=root
password=root
driver=com.mysql.cj.jdbc.Driver
2.自创JDBC工具类
文件名:JDBCutils.java
package com.otkur.util;
import java.io.FileReader;
import java.io.IOException;
import java.net.URL;
import java.sql.*;
import java.util.Properties;
public class JDBCutils {
private static String url;
private static String user;
private static String password;
public static String Driver;
static {
try {
//读取资源文件,获取值
Properties pro = new Properties();
//获取src路径下的文件的方式---->ClassLoader类加载器
ClassLoader classLoader = JDBCutils.class.getClassLoader();
URL res = classLoader.getResource("jdbc.properties");
String path = res.getPath();
//加载文件
pro.load(new FileReader(path));
//3.获取数据,赋值
url = pro.getProperty("url");
user = pro.getProperty("user");
password = pro.getProperty("password");
Driver = pro.getProperty("driver");
Class.forName(Driver);
} catch (IOException e) {
e.printStackTrace();
} catch (ClassNotFoundException e) {
e.printStackTrace();
}
}
/**
* 获取连接
* @return 连接对象
*/
public static Connection getConnection(){
try {
return DriverManager.getConnection(url,user,password);
} catch (SQLException throwables) {
throwables.printStackTrace();
return null;
}
}
/**
* 释放资源
* @param rs
* @param stmt
* @param conn
*/
public static void close(ResultSet rs,Statement stmt, Connection conn){
if(rs != null){
try {
rs.close();
} catch (SQLException throwables) {
throwables.printStackTrace();
}
}
if(stmt != null){
try {
stmt.close();
} catch (SQLException throwables) {
throwables.printStackTrace();
}
}
if(conn != null){
try {
conn.close();
} catch (SQLException throwables) {
throwables.printStackTrace();
}
}
}
}
3.主程序
package com.otkur.jdbc3;
import com.otkur.util.JDBCutils;
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
import java.util.Scanner;
/**
* 练习:
* 需求:
* 1.通过键盘输入用户名和密码
* 2.判断用户是否登录成功
*/
public class JDBCDemo10 {
/**
* 登陆方法
*/
public static void main(String[] args) {
Scanner s= new Scanner(System.in);
System.out.println("请输入用户名:");
String username= s.nextLine();
System.out.println("请输入密码:");
String password = s.nextLine();
JDBCDemo10.login(username,password);
}
public static void login(String username, String password)
{
if(username!=null || password==null)
{
Connection c=null;
Statement s = null;
ResultSet rs = null;
try{
//1. 2.连接数据库,并判断是否连接成功
c= JDBCutils.getConnection();
//3.定义sql
String sql = " select * from user where username='"+username+"' and password='"+password+"'";
//4.获取执行对象
s=c.createStatement();
//5.执行语句
rs= s.executeQuery(sql);
if(rs.next())
System.out.println("登录成功");
else
System.out.println("登录失败");
}catch (SQLException throwables) {
throwables.printStackTrace();
} finally{
JDBCutils.close(rs,s,c);
}
}
}
4.结果
lisi我写成Lisi也登录成功了,是因为mysql中DQL语句不区分大小写?请大佬看到了解答一下
5.改进
先看这样一个输入:
用户名随便输入的,密码按照上面那种输入,也能登录成功,我把sql语句也一起输出出来了,一看这语句就知道原因了
上面这种现象叫做 SQL注入问题
SQL注入问题:在拼接sql时有一些sql的特殊关键字参与字符串的拼接。会造成安全性问题。
所以我们得用预编译SQL(PreparedStatement)
修改步骤:
步骤一:在定义sql时,sql的参数使用?作为占位符。如:
- select * from user where username = ? and password = ? ;
步骤二:在获取sql语句的对象时 用PreparedStatement
- connection.prepareStatement(String sql)
步骤三:给?赋值
- 方法:setXxx(参数1,参数2)
- 参数1:?的位置编号 从1开始
- 参数2:?的值
步骤四:执行sql 接受返回结果,不需要传递sql语句
下面来实现一下:
主程序
package com.otkur.jdbc3;
import com.otkur.util.JDBCutils;
import java.sql.*;
import java.util.Scanner;
/**
* 练习:
* 需求:
* 1.通过键盘输入用户名和密码
* 2.判断用户是否登录成功
*/
public class JDBCDemo10 {
/**
* 登陆方法
*/
public static void main(String[] args) {
Scanner s= new Scanner(System.in);
System.out.println("请输入用户名:");
String username= s.nextLine();
System.out.println("请输入密码:");
String password = s.nextLine();
JDBCDemo10.login(username,password);
}
public static void login(String username, String password)
{
if(username!=null || password==null)
{
Connection c=null;
//Statement s = null;
PreparedStatement p = null;
ResultSet rs = null;
try{
//1. 2.连接数据库,并判断是否连接成功
c= JDBCutils.getConnection();
//3.定义sql
String sql = " select * from user where username=? and password=?";
//4.获取执行对象
//System.out.println(sql);
//s=c.createStatement();
p= c.prepareStatement(sql);
//给?赋值
p.setString(1,username);
p.setString(2,password);
//5.执行语句
//rs= s.executeQuery(sql);
rs= p.executeQuery();
if(rs.next())
System.out.println("登录成功");
else
System.out.println("登录失败");
}catch (SQLException throwables) {
throwables.printStackTrace();
} finally{
JDBCutils.close(rs,p,c);
}
}
}
}
6.改进后的结果
以后都要用PrepareStatement的对象执行sql语句(可以防止SQL注入,效率更高)!!!