JDBC快速入门（五）--PreparedStatement用法

回顾JDBC快速入门（四）中写的登录案例
会有一个sql注入的问题，如果我的用户名是随便输入的，密码这么输入a' or 'a' == 'a也会登陆成功：

通过打印出sql我们可以发现username = ‘abcdefg’ and password = 'a’是错误的，但是or 后边的‘a’ = 'a’是正确的，所以后边的逻辑就是永真，这样一来，就会查询所有的数据，然后自然会登录成功
用PreparedStatement解决问题
Statement所执行的sql是静态的sql，表示所有的sql语句，在执行之前，都是静态的，都是固定的拼接好的sql语句，不会再有变化，静态sql容易产生sql注入问题，而预编译的PreparedStatement则不会产生此类问题，他的参数都用？占位

其中在定义sql的时候就要这么定义select * from user where username = ? and password = ?,在执行sql对象的时候，用PreparedStatement来写pst = conn.prepareStatement(sql),这是预编译的过程，下面给sql赋值
如下pst.setString(1, username); pst.setString(2, password);我们把？的个数从1开始编号，然后分别按照1,2,3,4……的顺序去赋值，完成后就可以去执行他pst.executeQuery();里边不用传值，完整代码如下

package com.byzhang.jdbc;

import com.byzhang.utils.JdbcUtils;

import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.PreparedStatement;
import java.util.Scanner;

public class JdbcDemo6 {
    public static void main(String[] args) {
        Scanner sc = new Scanner(System.in);
        System.out.println("请输入用户名:");
        String username = sc.nextLine();
        System.out.println("请输入密码:");
        String password = sc.nextLine();

        boolean flag = new JdbcDemo6().login(username, password);
        if(flag){
            System.out.println("登录成功！");
        }else{
            System.out.println("登录失败！");
        }
    }

    //登陆方法
    public boolean login(String userName, String password) {
        if(userName == null || password == null){
            return false;
        }

        Connection conn = null;
        PreparedStatement pst = null;
        ResultSet res = null;

        try{
            conn = JdbcUtils.getConnection();
            String sql = "select * from user where username = ? and password = ?";
            System.out.println(sql);
            pst = conn.prepareStatement(sql);
            pst.setString(1, userName);
            pst.setString(2, password);
            pst.executeQuery();
            
            return res.next();
        }catch (SQLException e){
            e.printStackTrace();
        }finally {
            JdbcUtils.close(res, pst, conn);
        }

        return false;
    }
}

以后的代码中，尽量用PreparedStatement。