SQL注入问题解决

1.什么是SQL注入？

通过SQL语句代码的漏洞，进而攻击系统，从而引起数据泄露。

例如：我的数据库表中的字段记录是

当我Java与数据库进行连接后使用姓名查询，输入'or 1 or'。这个姓名很明显是不存在的，但是查询出来的结果是

可以看到，使用'or 1 or'查询出来的结果是我之前进行查询过的结果，这就是SQL注入。

2.解决SQL注入。

2.1可以对Java语言中传递的字符进行预处理，但是量大，实施时间过长，难以实现。

2.2使用PerpredStatement与数据库连接，获取连接对象，对字符串事先进行预处理，然后再去执行SQL语句。

package com.utils;

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class PreJDBCTest {
	public static void main(String[] args) {
		PreparedStatement ps = null;      
		ResultSet rs = null;
		try {
			Connection conn = JDBCUtils.getConnection();//之前的工具类，直接调用获取连接对象
			String sql = "select * from tb7 where username=?";//?表示什么，通配符
			ps = conn.prepareStatement(sql);            //进行预处理
			/**1：表示参数索引在SQL语句中其实位置为1，"zhangsan"：表示表的具体值
             *简单的说吧，就是第1个？的位置赋值zhangsan
             */   
			ps.setString(1, "zhangsan");//相当于select * from tb7 where username=zhangsan
			rs = ps.executeQuery(); //执行SQL语句不需要再传递SQL参数
			//输出rs的数据
			while(rs.next()){
				System.out.println(rs.getString("id")+"\t"+
			                       rs.getString("username")+"\t"+
						           rs.getDouble("salary")+"\t"+
			                       rs.getInt("age")+"\t"+
						           rs.getString("depart"));
			}
		} catch (SQLException e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		}
	}
}

3.Statement和PreparedStatement的区别是什么？

Statement：用于执行静态 SQL 语句并返回它所生成结果的对象。每次Statement只能打开一个ResultSet对象。也就意味着，Statement如果执行两次则打开两次，多次执行则多次打开。Statement中每执行一次都要重新对SQL语句进行编译。

PreparedStatement：用于处理动态SQL语句，在执行前会有一个预编译过程。与Statement不同的是，PreparedStatement本身已经实例化SQL语句，它的预先编译的结果会被保存下来，当下次再执行相同语句的时候，就不需要再次对SQL语句进行编译，从而它的效率是相当高的。

总而言之，PreparedStatement是Statement的子类，它继承了Statement这一个父类，继承了Statement的所有功能。先不说他本身，看Statement来说，只要Statement对象能做到的操作PrepareStatement都能做到，而PreparedStatement做的到的自身特有的功能Statement却不能做到。PreparedStatement的可读性、维护性、安全性都比Statement高。