10月9日 Jdbc(2)

PreparedStatement的使用和jdbcUtil工具类的封装

拼接带来的sql注入问题(拼接sql)

Statement

PreparedStatement的使用

package com.fs.db;

import com.fs.util.JdbcUtil;

import java.sql.*;
import java.util.Date;
import java.util.Scanner;

/**
 * 模拟SQL攻击
 */
public class Demo4 {
    public static void main(String[] args) {
        boolean flag = login2("zs", "zs");
        //SQL攻击  SQL注入
        //boolean flag = login2("asdasd' or '1' = '1", "zs' or '1'='1");
        if(flag){
            System.out.println("登录成功");
        }else{
            System.out.println("登录失败");
        }

    }

    /**
     * 登录方法
     * @param username 用户名
     * @param password 密码
     * @return true登录成功,  false: 登录失败
     */
    public static boolean login(String username,String password){
        Connection conn = null;
        Statement statement = null;
        ResultSet resultSet = null;
        try {
            Class.forName("com.mysql.jdbc.Driver");
            String url = "jdbc:mysql://localhost:3306/test2?useUnicode=true&characterEncoding=utf8&useSSL=false";
            conn = DriverManager.getConnection(url, "root", "123");
            statement = conn.createStatement();

            String sql = "select * from user where username = '"+username+"' and password='"+password+"'";
            System.out.println(sql);
            resultSet = statement.executeQuery(sql);
            return resultSet.next();
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException throwables) {
            throwables.printStackTrace();
        }finally{
            //倒序关
            try {
                if(resultSet != null) {
                    resultSet.close();
                }
                if(statement != null) {
                    statement.close();
                }
                if(conn != null) {
                    conn.close();
                }
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }
        }
        return false;
    }


    /**
     *  使用PreparedStatement
     * 登录方法
     * @param username 用户名
     * @param password 密码
     * @return true登录成功,  false: 登录失败
     */
    public static boolean login2(String username,String password){
        Connection conn = null;
        PreparedStatement pstmt  = null;
        ResultSet resultSet = null;
        try {
            Class.forName("com.mysql.jdbc.Driver");
            String url = "jdbc:mysql://localhost:3306/test2?useUnicode=true&characterEncoding=utf8&useSSL=false";
            conn = DriverManager.getConnection(url, "root", "123");
            //SQL语句使用?占位
            String sql = "select * from user where username = ?  and password=? ";
            pstmt = conn.prepareStatement(sql);

            //给?赋值setXxx(?序号,值)  从1开始   通用类型: setObject()
            pstmt.setString(1,username);
            pstmt.setString(2,password);

            //执行sql  调用无参的方法
            resultSet =  pstmt.executeQuery();
            return resultSet.next();
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException throwables) {
            throwables.printStackTrace();
        }finally{
            //倒序关
            try {
                if(resultSet != null) {
                    resultSet.close();
                }
                if(pstmt != null) {
                    pstmt.close();
                }
                if(conn != null) {
                    conn.close();
                }
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }
        }
        return false;
    }

    /**
     *  使用PreparedStatement
     * 登录方法
     * @param username 用户名
     * @param password 密码
     * @return true登录成功,  false: 登录失败
     */
    public static boolean login3(String username,String password){
        Connection conn = null;
        PreparedStatement pstmt  = null;
        ResultSet resultSet = null;
        try {
           conn = JdbcUtil.getConnection();
            //SQL语句使用?占位
            String sql = "select * from user where username = ?  and password=? ";
            pstmt = conn.prepareStatement(sql);

            //给?赋值setXxx(?序号,值)  从1开始   通用类型: setObject()
            pstmt.setString(1,username);
            pstmt.setString(2,password);

            //执行sql  调用无参的方法
            resultSet =  pstmt.executeQuery();
            return resultSet.next();
        } catch (SQLException throwables) {
            throwables.printStackTrace();
        }finally{
           JdbcUtil.close(conn,pstmt,resultSet);
        }
        return false;
    }

}

和com包同级

jdbc.driverclass=com.mysql.jdbc.Driver
jdbc.url=jdbc:mysql://localhost:3306/test2?useUnicode=true&characterEncoding=utf8&useSSL=false
jdbc.username=root
jdbc.password=123

Jdbc的工具类 

jdbc的优化  代码重复问题 参数优化问题

第一步:把数据库四大参数放到properties文件
jdbc.driverclass=com.mysql.jdbc.Driver
jdbc.url=jdbc :mysql : / / localhost:3306/test2?
useUnicode=true&characterEncoding=utf8&useSSL=falsejdbc.username=root
jdbc.password=123
第二步:编写一个jdbc的工具类,封装重复代码 (工具类不要让别人可以new出来，所以搞成静态的，返回一个connection对象，直接用类型.属性调用方法和属性)

package com.fs.util;

import java.io.IOException;
import java.io.InputStream;
import java.sql.*;
import java.util.Properties;

/**
 * JDBC的工具类
 */
public class JdbcUtil {
    private static Properties props = new Properties();
    static{
        //加载db.properties文件
        try {
            //写的绝对路径, 一旦项目拷贝到另外一台电脑,路径可能错误的
            //FileInputStream fis = new FileInputStream("C:\\java6\\jdbc\\code\\demo1\\src\\db.properties");

            //使用相对路径, 相对于src目录
            //getClassLoader()得到该类的类加载器
            InputStream in = JdbcUtil.class.getClassLoader().getResourceAsStream("db.properties");
            props.load(in);
            Class.forName(props.getProperty("jdbc.driverclass"));
        } catch (IOException e) {
            e.printStackTrace();
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        }

    }


    //得到连接的方法
    public static Connection getConnection() throws SQLException {
        return  DriverManager.getConnection(props.getProperty("jdbc.url"), props.getProperty("jdbc.username"), props.getProperty("jdbc.password"));
    }

    //关闭资源的方法
    public static void close(Connection conn, PreparedStatement pstmt, ResultSet resultSet){
        try {
            if(resultSet != null) {
                resultSet.close();
            }
            if(pstmt != null) {
                pstmt.close();
            }
            if(conn != null) {
                conn.close();
            }
        } catch (SQLException throwables) {
            throwables.printStackTrace();
        }
    }

}

从此用PreparedStatement替代Statement