Demo_JDBC_实现一个用户登陆的功能并改进sql的注入问题
图解如何使用JDBC实现一个用户登陆的功能
1、新建一个Java Project项目
2、新建一个User类对应MySQL中的users表
package com.soar.entity;
import java.util.Date;
public class User {
private int id;
private String name;
private String password;
private String email;
private Date birthday;
public int getId() {
return id;
}
public void setId(int id) {
this.id = id;
}
public String getName() {
return name;
}
public void setName(String name) {
this.name = name;
}
public String getPassword() {
return password;
}
public void setPassword(String password) {
this.password = password;
}
public String getEmail() {
return email;
}
public void setEmail(String email) {
this.email = email;
}
public Date getBirthday() {
return birthday;
}
public void setBirthday(Date birthday) {
this.birthday = birthday;
}
@Override
public String toString() {
return "User [id=" + id + ", name=" + name + ", password=" + password + ", email=" + email + ", birthday="
+ birthday + "]";
}
}
3、新建一个DBUtils类
package com.soar.util;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
import java.util.ResourceBundle;
public class DBUtils {
private static String driverClass;
private static String url;
private static String user;
private static String password;
static{
ResourceBundle rb = ResourceBundle.getBundle("dbinfo");
//给上面四个变量赋值
driverClass = rb.getString("driverClass");
url = rb.getString("url");
user = rb.getString("user");
password = rb.getString("password");
try {
Class.forName(driverClass);
} catch (Exception e) {
e.printStackTrace();
}
}
//得到连接
public static Connection getConnection() throws Exception{
return DriverManager.getConnection(url, user, password);
}
//关闭资源
public static void closeAll(ResultSet rs,Statement stmt,Connection conn){
if(rs!=null){
try {
rs.close();
} catch (SQLException e) {
e.printStackTrace();
}
rs = null;
}
if(stmt!=null){
try {
stmt.close();
} catch (SQLException e) {
e.printStackTrace();
}
stmt = null;
}
if(conn!=null){
try {
conn.close();
} catch (SQLException e) {
e.printStackTrace();
}
conn = null;
}
}
}
4、创建一个properties的配置文件和DBUtils类进行关联
注意：不用加分号
5、创建一个DoLogin类
package com.soar.service;
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.Statement;
import com.soar.entity.User;
import com.soar.util.DBUtils;
public class DoLogin {
/**
* 根据用户名和密码查询用户对象信息
* @param name
* @param pwd
* @return u
*/
public User findUser(String name, String pwd){
Connection conn = null;
Statement stmt = null;
ResultSet rs = null;
User u = null;
try {
conn = DBUtils.getConnection(); //得到连接对象
stmt = conn.createStatement(); //得到执行sql语句的对象
rs = stmt.executeQuery("SELECT * FROM users WHERE NAME='"+name+"' AND PASSWORD='"+pwd+"'"); //执行sql语句
if(rs.next()){
u = new User();
u.setId(rs.getInt(1));
u.setName(rs.getString(2));
u.setPassword(rs.getString(3));
u.setEmail(rs.getString(4));
u.setBirthday(rs.getDate(5));
}
} catch (Exception e) {
e.printStackTrace();
}finally{
DBUtils.closeAll(rs, stmt, conn);
}
return u;
}
}
注意事项：在调用executeQuery()方法时，括号中的sql语句应该在SQLyog中写完后复制到MyEclipse中，因为如果在ME中写sql语句即使写错了，编译器也不会报错。
6、创建一个Login类
package com.soar.client;
import java.util.Scanner;
import com.soar.entity.User;
import com.soar.service.DoLogin;
public class Login {
public static void main(String[] args) {
Scanner input = new Scanner(System.in);
System.out.println("请输入用户名：");
String name = input.nextLine();
System.out.println("请输入密码：");
String pwd = input.nextLine();
DoLogin dl = new DoLogin();
User user = dl.findUser(name, pwd); //调用查询用户的方法
if(user!=null){
System.out.println("欢迎你："+user.getName());
}else{
System.out.println("用户名和密码错误！");
}
}
}
7、运行Login类
MySQL中的数据表
Console中输入正确的信息
Console中输入错误的信息
8、在 DoLogin类中程序代码不完善，存在sql注入问题
当任意输入一个用户名后，在输入密码时填写如下语句会把
所有的数据库信息都调出来
请输入用户名：
sdaf
请输入密码：
fdsa ' or '1'='1 解决方法：使用preparedStatement来代替Statement
preparedStatement：预编译对象， 是Statement对象的子类。
特点：
性能要高
会把sql语句先编译
sql语句中的参数会发生变化，过滤掉用户输入的关键字。
改进后的DoLogin类代码：
package com.soar.service;
import java.sql.Connection;
import java.sql.ResultSet;
import com.mysql.jdbc.PreparedStatement;
import com.soar.entity.User;
import com.soar.util.DBUtils;
public class DoLogin {
/**
* 根据用户名和密码查询用户对象信息
* @param name
* @param pwd
* @return u
*/
public User findUser(String name, String pwd){
Connection conn = null;
PreparedStatement stmt = null;
ResultSet rs = null;
User u = null;
try {
conn = DBUtils.getConnection(); //得到连接对象
String sql = "SELECT * FROM users WHERE NAME=? AND PASSWORD=?";
stmt = (PreparedStatement) conn.prepareStatement(sql); //得到执行sql语句的对象
//给？赋值
stmt.setString(1, name);
stmt.setString(2, pwd);
rs = stmt.executeQuery(); //执行sql语句
if(rs.next()){
u = new User();
u.setId(rs.getInt(1));
u.setName(rs.getString(2));
u.setPassword(rs.getString(3));
u.setEmail(rs.getString(4));
u.setBirthday(rs.getDate(5));
}
} catch (Exception e) {
e.printStackTrace();
}finally{
DBUtils.closeAll(rs, stmt, conn);
}
return u;
}
}
