java JDBC Statement的用途

对比Statement与prepareStatement

　　1. Statement 存在SQL注入 ，PrepareStatement不存在SQL注入

　　2.Statement 是编译一次执行一次，PrepareStatement编译一次可执行多次，PrepareStatement 执行效率高

　　3.PrepareStatement会在编译阶段做类型的检查

什么情况下使用Statement？

　　业务方面要求支持SQL注入的时候

 　　SQL语句需要拼接的时候

例如：用户控制台输入desc进行降序，输入asc进行升序

 

新建java空项目，新建类JdbcTest_Statement

public static void main(String[] args) {
Scanner s = new Scanner(System.in);
        System.out.println("请输入desc或asc,desc表示降序，asc表示升序");
        System.out.print("请输入:");
        //读取输入的这一行，并赋值给keyWords
        String keyWords = s.nextLine();
        //执行SQL，JDBC编程六步
        Connection conn = null;
        Statement stmt = null;
        ResultSet rs = null;   //ResultSet是封装了结果集的对象
       
        try {
            //注册驱动
            Class.forName("com.mysql.jdbc.Driver");
            //然后获取连接
            conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/user","root","root"); 
17
18  
            //获取数据库操作对象
            stmt = conn.createStatement();

            //执行SQL
            String sql="select loginName from t_user order by loginName "+keyWords;
            rs = stmt.executeQuery(sql);

            //结果集进行遍历循环
            while(rs.next()){//如果结果集有数据
                System.out.println(rs.getString("loginName"));

            }
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            if (rs != null){
                try {
                    rs.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }
　　　　　　　//资源释放
            if (conn != null){
                try {
                    conn.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }

            if (stmt != null){
                try {
                    stmt.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }
        }
    }

运行结果：输入desc

 

 输入asc

 

 

  String sql="select loginName from t_user order by loginName "+keyWords;

此处的SQL语句进行拼接，程序读取用户输入的keywords,拼接成一整句完整的SQL语句，用户输入的信息参与了编译过程，产生了SQL注入，实现了用户的要求