第三课 使用PreparedStatement实现CRUD操作

1 操作和访问数据库

  • 数据库连接被用于向数据库服务器发送命令和 SQL 语句,并接受数据库服务器返回的结果。其实一个数据库连接就是一个Socket连接。

  • java.sql包中有 3 个接口分别定义了对数据库的调用的不同方式:

    • Statement:用于执行静态 SQL 语句并返回它所生成结果的对象。
    • PrepatedStatement:SQL 语句被预编译并存储在此对象中,可以使用此对象多次高效地执行该语句。
    • CallableStatement:用于执行 SQL 存储过程

三种Statement

2 使用Statement操作数据表的弊端

  • 通过调用Connection对象的createStatement()方法创建该对象。该对象用于执行静态的 SQL 语句,并且返回执行结果。

  • Statement 接口中定义了下列方法用于执行 SQL 语句:

int excuteUpdate(String sql):执行更新操作INSERT、UPDATE、DELETE
ResultSet executeQuery(String sql):执行查询操作SELECT
  • 但是使用Statement操作数据表存在弊端:

    • 问题一:存在拼串操作,繁琐
    • 问题二:存在SQL注入问题
  • SQL 注入是利用某些系统没有对用户输入的数据进行充分的检查,而在用户输入数据中注入非法的 SQL 语句段或命令(如:SELECT user, password FROM user_table WHERE user='a' OR 1 = ' AND password = ' OR '1' = '1') ,从而利用系统的 SQL 引擎完成恶意行为的做法。

  • 对于 Java 而言,要防范 SQL 注入,只要用PreparedStatement(从Statement扩展而来) 取代 Statement 就可以了。

  • 代码演示:

public class StatementTest {

	// 使用Statement的弊端:需要拼写sql语句,并且存在SQL注入的问题
	@Test
	public void testLogin() {
		Scanner scan = new Scanner(System.in);

		System.out.print("用户名:");
		String userName = scan.nextLine();
		System.out.print("密   码:");
		String password = scan.nextLine();

		// SELECT user,password FROM user_table WHERE USER = '1' or ' AND PASSWORD = '='1' or '1' = '1';
		String sql = "SELECT user,password FROM user_table WHERE USER = '" + userName + "' AND PASSWORD = '" + password
				+ "'";
		User user = get(sql, User.class);
		if (user != null) {
			System.out.println("登陆成功!");
		} else {
			System.out.println("用户名或密码错误!");
		}
	}

	// 使用Statement实现对数据表的查询操作
	public <T> T get(String sql, Class<T> clazz) {
		T t = null;

		Connection conn = null;
		Statement st = null;
		ResultSet rs = null;
		try {
			// 1.加载配置文件
			InputStream is = StatementTest.class.getClassLoader().getResourceAsStream("jdbc.properties");
			Properties pros = new Properties();
			pros.load(is);

			// 2.读取配置信息
			String user = pros.getProperty("user");
			String password = pros.getProperty("password");
			String url = pros.getProperty("url");
			String driverClass = pros.getProperty("driverClass");

			// 3.加载驱动
			Class.forName(driverClass);

			// 4.获取连接
			conn = DriverManager.getConnection(url, user, password);

			st = conn.createStatement();

			rs = st.executeQuery(sql);

			// 获取结果集的元数据
			ResultSetMetaData rsmd = rs.getMetaData();

			// 获取结果集的列数
			int columnCount = rsmd.getColumnCount();

			if (rs.next()) {

				t = clazz.newInstance();

				for (int i = 0; i < columnCount; i++) {
					// //1. 获取列的名称
					// String columnName = rsmd.getColumnName(i+1);

					// 1. 获取列的别名
					String columnName = rsmd.getColumnLabel(i + 1);

					// 2. 根据列名获取对应数据表中的数据
					Object columnVal = rs.getObject(columnName);

					// 3. 将数据表中得到的数据,封装进对象
					Field field = clazz.getDeclaredField(columnName);
					field.setAccessible(true);
					field.set(t, columnVal);
				}
				return t;
			}
		} catch (Exception e) {
			e.printStackTrace();
		} finally {
			// 关闭资源
			if (rs != null) {
				try {
					rs.close();
				} catch (SQLException e) {
					e.printStackTrace();
				}
			}
			if (st != null) {
				try {
					st.close();
				} catch (SQLException e) {
					e.printStackTrace();
				}
			}

			if (conn != null) {
				try {
					conn.close();
				} catch (SQLException e) {
					e.printStackTrace();
				}
			}
		}

		return null;
	}
}

综上:

CURD运行步骤

3 PreparedStatement的使用

3.1 PreparedStatement介绍

  • 可以通过调用 Connection 对象的preparedStatement(String sql)方法获取 PreparedStatement 对象

  • PreparedStatement接口是 Statement 的子接口,它表示一条预编译过的 SQL 语句

  • PreparedStatement 对象所代表的 SQL 语句中的参数用问号(?)来表示,调用 PreparedStatement 对象的 setXxx() 方法来设置这些参数. setXxx() 方法有两个参数,第一个参数是要设置的 SQL 语句中的参数的索引(从 1 开始),第二个是设置的 SQL 语句中的参数的值

3.2 PreparedStatement vs Statement

  • 代码的可读性和可维护性。

  • PreparedStatement 能最大可能提高性能:

    • DBServer会对预编译语句提供性能优化。因为预编译语句有可能被重复调用,所以语句在被DBServer的编译器编译后的执行代码被缓存下来,那么下次调用时只要是相同的预编译语句就不需要编译,只要将参数直接传入编译过的语句执行代码中就会得到执行。
    • 在statement语句中,即使是相同操作但因为数据内容不一样,所以整个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句编译后的执行代码缓存。这样每执行一次都要对传入的语句编译一次。
    • (语法检查,语义检查,翻译成二进制命令,缓存)
  • PreparedStatement 可以防止 SQL 注入

3.3 使用(增删改)

/*
 * 增
 */
public static void insert() {
	Connection conn = JDBCTools.getConn();
	PreparedStatement ps = null;

	try {
		// 预编译SQL语句
		String sql = "insert into customers(name,email,birth) values (?,?,?)";
		ps = conn.prepareStatement(sql);
		ps.setString(1, "A");
		ps.setString(2, "A@163.com");
		// 对日期类型进行编辑
		SimpleDateFormat sp = new SimpleDateFormat("yyyy-MM-dd");
		Long date = sp.parse("1989-03-12").getTime();
		ps.setDate(3, new Date(date));
		// 提交SQL语句准备执行
		ps.execute();
	} catch (Exception e) {
		e.printStackTrace();
	} finally {
		// 关闭资源
		JDBCTools.close(conn, ps);
	}
}

/*
 * 删
 */
public static void delete() {
	Connection conn = JDBCTools.getConn();
	PreparedStatement ps = null;

	try {
		String SQL = "delete from customers where name = ?";
		ps = conn.prepareStatement(SQL);
		ps.setString(1, "B");
		ps.execute();
	} catch (Exception e) {
		e.printStackTrace();
	} finally {
		JDBCTools.close(conn, ps);
	}
}

/*
 * 改
 */
public static void update() {
	PreparedStatement ps = null;
	Connection conn = JDBCTools.getConn();
	try {
		String SQL = "update customers set name = ? where name = ?";
		ps = conn.prepareStatement(SQL);
		ps.setString(1, "C");
		ps.setString(2, "D");
		ps.execute();
	} catch (Exception e) {
		e.printStackTrace();
	} finally {
		JDBCTools.close(ps, conn);
	}
}

/*
 * 通用增删改操作
 */
public static void CommonUpdate(String SQL, Object... obj) {
	Connection conn = null;
	PreparedStatement ps = null;
	try {
		conn = JDBCTools.getConn();
		ps = conn.prepareStatement(SQL);
		for (int i = 0;i<obj.length;i++) {
			ps.setObject(i+1, obj[i]);
		}
		ps.execute();
	} catch (Exception e) {
		e.printStackTrace();
	} finally {
		JDBCTools.close(conn,ps);
	}
}

3.4 使用(查)

  • ORM编程思想(Object Relational Mapping)
    • 一个数据表对应一个Java类
    • 表中一条记录对应Java类的一个对象
    • 表中一个字段对应Java类的一个属性
package JDBC.CommonSelect;

import java.lang.reflect.Field;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.ResultSetMetaData;
import java.util.ArrayList;
import java.util.List;

import JDBC.JDBCBasic.JDBCTools;

public class CommonSelectTest {
	public static void main(String[] args) {
		CommonSelectTest commonSelectTest = new CommonSelectTest();
		String sql = "select * from customers where id < ?";
		List<Customers> commonSelect = commonSelectTest.commonSelect(Customers.class, sql, 12);
		commonSelect.forEach(System.out::println);
	}

	// 通用Select(泛型方法)
	private <T> List<T> commonSelect(Class<T> clazz, String sql, Object... objects) {
		Connection conn = null;
		PreparedStatement prepareStatement = null;
		ResultSet result = null;
		ResultSetMetaData rsmd = null;
		List<T> t_list = new ArrayList<T>();
		try {
			// 获取连接
			conn = JDBCTools.getConn();
			// 绑定值
			prepareStatement = conn.prepareStatement(sql);
			for (int i = 0; i < objects.length; i++) {
				prepareStatement.setObject(i + 1, objects[i]);
			}
			// 执行SQL,获取结果集
			result = prepareStatement.executeQuery();
			// 获取表,列数
			rsmd = result.getMetaData();
			int columnCount = rsmd.getColumnCount();
			// 取内容并反射到对应的bean
			while (result.next()) {
				T t = clazz.newInstance();
				for (int i = 1; i < columnCount; i++) {
					// 获取列名(不推荐使用,有时候列名和bean中的属性名不同,反射时会报错)
					// String columnName = rsmd.getColumnName(i);
					// 获取列的别名,没有别名的时候,使用列名,推荐使用
					String columnName = rsmd.getColumnLabel(i);
					Object columnValue = result.getObject(i);
					Field field = clazz.getDeclaredField(columnName);
					field.setAccessible(true);
					field.set(t, columnValue);
				}
				t_list.add(t);
			}
		} catch (Exception e) {
			e.printStackTrace();
		} finally {
			JDBCTools.close(conn, prepareStatement, result);
		}
		return t_list;
	}
}

3.3 Java与SQL对应数据类型转换表

Java类型SQL类型
booleanBIT
byteTINYINT
shortSMALLINT
intINTEGER
longBIGINT
StringCHAR,VARCHAR,LONGVARCHAR
bytearrayBINARY,VARBINARY
java.sql.DateDATE
java.sql.TimeTIME
java.sql.TimestampTIMESTAMP

4 Statement VS PreparedStatement

  • 除了解决Statement的拼串、sql注入问题之外,PreparedStatement的其他好处
    • PreparedStatement可以操作 BLOB 类型的数据
    • PreparedStatement可以实现更高效的批量操作

5 execute()方法

  • execute()方法返回值为boolean类型
    • true:有返回结果(ResultSet),对应查询操作
    • false:无返回结果,对应增删改操作,如果想获取是否增删改操作成功,需要使用executeUpdate()方法,返回值是影响的行数
  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值