JavaWeb系列--JDBC
总览图
什么是JDBC
JDBC的全称是Java数据库连接（Java Database Connectivity），它是一套用于执行SQL语句的Java API。应用程序可通过这套API连接到关系型数据库，并使用SQL语句来完成对数据库中数据的CRUD等操作。说白了就是用Java语言来操作数据库。
JDBC原理
早期SUN公司的天才们想编写一套可以连接天下所有数据库的API，但是当他们刚刚开始时就发现这是不可完成的任务，因为各个厂商的数据库服务器差异太大了。后来SUN开始与数据库厂商们讨论，最终得出的结论是，由SUN提供一套访问数据库的规范（就是一组接口），并提供连接数据库的协议标准，然后各个数据库厂商会遵循SUN的规范提供一套访问自己公司的数据库服务器的API出现。SUN提供的规范命名为JDBC，而各个厂商提供的，遵循了JDBC规范的，可以访问自己数据库的API被称之为驱动。
所以jdbc是不变的，但是驱动却有很多种。
Demo
准备数据
SET NAMES utf8mb4;
SET FOREIGN_KEY_CHECKS = 0;
-- ----------------------------
-- Table structure for user
-- ----------------------------
DROP TABLE IF EXISTS `user`;
CREATE TABLE `user` (
`id` bigint(20) NOT NULL COMMENT '主键ID',
`name` varchar(30) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL COMMENT '姓名',
`age` int(11) NULL DEFAULT NULL COMMENT '年龄',
`email` varchar(50) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL COMMENT '邮箱',
`password` varchar(50) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL COMMENT '密码',
PRIMARY KEY (`id`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8 COLLATE = utf8_general_ci ROW_FORMAT = Compact;
-- ----------------------------
-- Records of user
-- ----------------------------
INSERT INTO `user` VALUES (1, 'Jone', 18, 'test1@qq.com', '1230984');
INSERT INTO `user` VALUES (2, 'Jack', 20, 'test2@qq.com', '5364363');
INSERT INTO `user` VALUES (3, '吴芳吉', 28, 'test3@qq.com', '4564574');
INSERT INTO `user` VALUES (4, 'Sandy', 21, 'test4@qq.com', '4573452');
INSERT INTO `user` VALUES (5, '李华', 24, 'test5@qq.com', '6546373');
SET FOREIGN_KEY_CHECKS = 1;
搭建Maven项目
JDBCDemo.java
import org.junit.Test;
import java.sql.*;
/**
* @Author: Luzy
* @Date: 2020-07-22 11:04
*/
public class JDBCDemo {
private Connection conn = null;
private Statement stat = null;
private ResultSet rs = null;
@Test
public void query() {
try {
//注册数据库驱动获取连接
conn = JDBCUtil.getConnection();
//获取传输器
stat = conn.createStatement();
//利用传输器发送SQL到数据库执行，并返回执行结果
rs = stat.executeQuery("select * from user");
//处理结果:将表中所有的记录输出在控制台
while (rs.next()) {
int id = rs.getInt("id");
String name = rs.getString("name");
int age = rs.getInt("age");
String email = rs.getString("email");
System.out.println(id + " : " + name + " : " + age + " : " + email);
}
} catch (Exception e) {
e.printStackTrace();
} finally {
//释放资源
JDBCUtil.close(conn, stat, rs);
}
}
}
JDBCUtil.java
import java.sql.*;
/**
* @Author: Luzy
* @Date: 2020-07-23 9:10
* @Description: jdbc工具类
*/
public class JDBCUtil {
private static final String url = "jdbc:mysql://ip:port/user";
private static final String name = "com.mysql.jdbc.Driver";
private static final String username = "root";
private static final String password = "123456";
/**
* 注册数据库驱动，获取连接
**/
public static Connection getConnection() throws ClassNotFoundException, SQLException {
//1.注册数据库驱动
Class.forName(name);
//2.获取数据库连接
return DriverManager.getConnection(url, username, password);
}
/**
* 释放资源
**/
public static void close(Connection conn, Statement stat, ResultSet rs) {
if (rs != null) {
try {
rs.close();
} catch (SQLException e) {
e.printStackTrace();
} finally {
rs = null;
}
}
if (stat != null) {
try {
stat.close();
} catch (SQLException e) {
e.printStackTrace();
} finally {
stat = null;
}
}
if (conn != null) {
try {
conn.close();
} catch (SQLException e) {
e.printStackTrace();
} finally {
conn = null;
}
}
}
}
运行结果
JDBC对象介绍
DriverManager
该类管理数据库驱动程序
在JDBCUtil.java代码中可能出现的两种异常:
//1.注册数据库驱动
Class.forName(name);
//2.获取数据库连接
return DriverManager.getConnection(url, username, password);
- ClassNotFoundException
- 没有给出mysql的jar包
- 类名称打错了，查看类名是不是com.mysql.jdbc.Driver
- SQLException
- 出现这个异常就是三个参数的问题，往往username和password一般不是出错，所以需要认真查看url是否打错
Connection
管理数据库建立的连接
Connection最为重要的方法就是获取Statement:Statement stmt = con.createStatement();
Statement
负责将要执行的sql体局提交到数据库
Statement最为重要的方法是：
-
int executeUpdate(String sql)：
执行更新操作，即执行insert、update、delete语句，其实这个方法也可以执行create table、alter table，以及drop table等语句，但我们很少会使用JDBC来执行这些语句
-
ResultSet executeQuery(String sql)
执行查询操作，执行查询操作会返回ResultSet，即结果集
-
boolean execute()
Statement还有一个boolean execute()方法，这个方法可以用来执行增、删、改、查所有SQL语句。该方法返回的是boolean类型，表示SQL语句是否有结果集！
如果使用execute()方法执行的是更新语句，那么还要调用int getUpdateCount()来获取insert、update、delete语句所影响的行数。
如果使用execute()方法执行的是查询语句，那么还要调用ResultSet getResultSet()来获取select语句的查询结果。
ResultSet
执行sql查询语句返回的结果集
ResultSet主要用于存储结果集，可以通过next()方法由前向后逐个获取结果集中的数据，如果想获取结果集中任意位置的数据，则需要在创建Statement对象时，设置两个ResultSet定义的常量，具体设置方式如下：
Statement st = conn.createStatement( ResultSet.TYPE_SCROLL_INSENITIVE, ResultSet.CONCUR_READ_ONLY ); ResultSet rs = st.excuteQuery(sql);
第一个参数：
- ResultSet.TYPE_FORWARD_ONLY：不滚动结果集
- ResultSet.TYPE_SCROLL_INSENSITIVE：滚动结果集，但结果集数据不会再跟随数据库而变化
- ResultSet.TYPE_SCROLL_SENSITIVE：滚动结果集，但结果集数据会再跟随数据库而变化
第二个参数:
- CONCUR_READ_ONLY：结果集是只读的，不能通过修改结果集而反向影响数据库
- CONCUR_UPDATABLE：结果集是可更新的，对结果集的更新可以反向影响数据库
如果结果集是不可滚动的，那么只能使用next()方法来移动游标，而beforeFirst()、afterLast()、first()、last()、previous()、relative()方法都不能使用,如果想使用滚动的结果集，我们应该选择TYPE_SCROLL_INSENSITIVE！其实很少有数据库驱动会支持TYPE_SCROLL_SENSITIVE的特性！通常我们也不需要查询到的结果集再受到数据库变化的影响。通常可更新结果集这一“高级特性”我们也是不需要的！
可以通过next()方法使ResultSet的游标向下移动，当游标移动到你需要的行时，就需要来获取该行的数据了，ResultSet提供了一系列的获取列数据的方法：
上面方法中，参数columnIndex表示列的索引，列索引从1开始，而不是0，这第一点与数组不同。如果你清楚当前列的数据类型，那么可以使用getInt()之类的方法来获取，如果你不清楚列的类型，那么你应该使用getObject()方法来获取
ResultSet还提供了一套通过列名称来获取列数据的方法：
PreparedStatement
PreparedStatement对象可以对SQL语句进行预编译，预编译的信息会存储在该对象中。当相同的SQL语句再次执行时，程序会使用PreparedStatement对象中的数据，而不需要对SQL语句再次编译去查询数据库，这样就大大的提高了数据的访问效率。
防止sql注入 、提高代码可读性可维护性、提高程序执行的效率
SQL注入攻击
由于后台的SQL语句是拼接而来的。其中的参数是由用户提交的，如果用户在提交参数时，在其中掺杂了一些SQL关键字或者特殊符号，就可能会导致SQL语句的语意发生变化。从而执行一些意外的操作。
模拟登陆示例
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.Statement;
import java.util.Scanner;
/**
* @Author: Luzy
* @Date: 2020-07-23 16:40
*/
public class LoginTest1 {
public static void main(String[] args) {
Connection conn = null;
Statement stat = null;
ResultSet rs = null;
Scanner scanner = new Scanner(System.in);
System.out.println("please login first");
System.out.println("please enter username：");
String name = scanner.nextLine();
System.out.println("please enter password：");
String password = scanner.nextLine();
try {
conn = JDBCUtil.getConnection();
stat = conn.createStatement();
String sql = "SELECT * FROM user WHERE name= '"+name+"' and password = '"+password+"' ";
System.out.println(sql);
rs = stat.executeQuery(sql);
if (rs.next()) {
System.out.println("login success");
}else{
System.out.println("login fail");
}
} catch (Exception e) {
e.printStackTrace();
} finally {
//6.释放资源
JDBCUtil.close(conn, stat, rs);
}
}
}
运行之后控制台输入
如图所示，便是SQL注入的结果
使用PreparedStatement防止SQL注入
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.util.Scanner;
/**
* @Author: Luzy
* @Date: 2020-07-23 16:40
*/
public class LoginTest2 {
public static void main(String[] args) {
Connection conn = null;
PreparedStatement preparedStatement = null;
ResultSet rs = null;
Scanner scanner = new Scanner(System.in);
System.out.println("please login first");
System.out.println("please enter username：");
String name = scanner.nextLine();
System.out.println("please enter password：");
String password = scanner.nextLine();
try {
conn = JDBCUtil.getConnection();
String sql = " SELECT * FROM user WHERE name = ? and password = ? ";
preparedStatement = conn.prepareStatement(sql);
preparedStatement.setString(1, name);
preparedStatement.setString(2, password);
rs = preparedStatement.executeQuery();
if (rs.next()) {
System.out.println("login success");
} else {
System.out.println("login fail");
}
} catch (Exception e) {
e.printStackTrace();
} finally {
//6.释放资源
JDBCUtil.close(conn, preparedStatement, rs);
}
}
}
如图防止SQL注入成功
