1.什么是SQL注入?
通过SQL语句代码的漏洞,进而攻击系统,从而引起数据泄露。
例如:我的数据库表中的字段记录是
当我Java与数据库进行连接后使用姓名查询,输入'or 1 or'。这个姓名很明显是不存在的,但是查询出来的结果是
可以看到,使用'or 1 or'查询出来的结果是我之前进行查询过的结果,这就是SQL注入。
2.解决SQL注入。
2.1可以对Java语言中传递的字符进行预处理,但是量大,实施时间过长,难以实现。
2.2使用PerpredStatement与数据库连接,获取连接对象,对字符串事先进行预处理,然后再去执行SQL语句。
package com.utils;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
public class PreJDBCTest {
public static void main(String[] args) {
PreparedStatement ps = null;
ResultSet rs = null;
try {
Connection conn = JDBCUtils.getConnection();//之前的工具类,直接调用获取连接对象
String sql = "select * from tb7 where username=?";//?表示什么,通配符
ps = conn.prepareStatement(sql); //进行预处理
/**1:表示参数索引在SQL语句中其实位置为1,"zhangsan":表示表的具体值
*简单的说吧,就是第1个?的位置赋值zhangsan
*/
ps.setString(1, "zhangsan");//相当于select * from tb7 where username=zhangsan
rs = ps.executeQuery(); //执行SQL语句不需要再传递SQL参数
//输出rs的数据
while(rs.next()){
System.out.println(rs.getString("id")+"\t"+
rs.getString("username")+"\t"+
rs.getDouble("salary")+"\t"+
rs.getInt("age")+"\t"+
rs.getString("depart"));
}
} catch (SQLException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
}
}
3.Statement和PreparedStatement的区别是什么?
Statement:用于执行静态 SQL 语句并返回它所生成结果的对象。每次Statement只能打开一个ResultSet对象。也就意味着,Statement如果执行两次则打开两次,多次执行则多次打开。Statement中每执行一次都要重新对SQL语句进行编译。
PreparedStatement:用于处理动态SQL语句,在执行前会有一个预编译过程。与Statement不同的是,PreparedStatement本身已经实例化SQL语句,它的预先编译的结果会被保存下来,当下次再执行相同语句的时候,就不需要再次对SQL语句进行编译,从而它的效率是相当高的。
总而言之,PreparedStatement是Statement的子类,它继承了Statement这一个父类,继承了Statement的所有功能。先不说他本身,看Statement来说,只要Statement对象能做到的操作PrepareStatement都能做到,而PreparedStatement做的到的自身特有的功能Statement却不能做到。PreparedStatement的可读性、维护性、安全性都比Statement高。