PreparedStatement预编译解决sql注入攻击

1、PreparedStatement的介绍

• 预编译sql语句的执行者对象。在执行sql语句之前，将sql语句进行提前编译。明确sql语句的格式后，就不会改变了。剩余的内容都会认为是参数！参数使用?作为占位符

• 为参数赋值的方法：setXxx(参数1,参数2);

  • 参数1：?的位置编号(编号从1开始)

  • 参数2：?的实际参数

• 执行sql语句的方法

  • 执行insert、update、delete语句：int executeUpdate();

  • 执行select语句：ResultSet executeQuery();

2、PreparedStatement的使用

    //定义必要信息
    Connection conn = null;
    PreparedStatement pstm = null;
    ResultSet rs = null;

        //1.获取连接
        conn = JDBCUtils.getConnection();
        //2.创建操作SQL对象
        String sql = "SELECT * FROM user WHERE loginname=? AND password=?";
        pstm = conn.prepareStatement(sql);
        //3.设置参数
        pstm.setString(1,loginName);
        pstm.setString(2,password);
        System.out.println(sql);
        //4.执行sql语句，获取结果集
        rs = pstm.executeQuery();