Statement和preparedStatement之间的区别？
根据JDBC模拟用户功能的实现：
loginUser.properties
driver=com.mysql.jdbc.Driver url=jdbc:mysql://127.0.0.1:3306/mydatabase user=root password=333
package com.java.JDBC; import java.sql.*; import java.util.HashMap; import java.util.Map; import java.util.ResourceBundle; import java.util.Scanner; /* 实现功能: 1 需求：模拟用户登录功能的实现。 2 业务描述： 程序运行的时候，提供一个输入的入口，可以让用户输入用户名和密码。 用户输入用户名和密码之后，提交信息，java程序收集用户信息 Java程序连接数据库验证用户名和密码是否合法。 合法：显示登陆成功。 不合法：显示登陆失败。 3 数据的准备 在实际开发中，表的设计会使用专业的建模工具，我们这里安装一个建模工具：PowerDesigner 使用PD工具来进行数据库表的设计。（参见user-login.sql脚本） 4 当前程序存在的问题： 用户名：fdsa 密码：fdsa' or '1'='1 登录成功 这种现象被称为SQL注入（安全隐患）。（黑客经常使用） 5 导致SQL注入的根本原因是什么？ select * from t_user where loginName = 'fdsa' and loginpwd = 'fdsa' or '1'='1'; 用户输入的信息中含有sql语句的关键字，并且这些关键字参与sql语句的编译过程，导致sql语句的原意被扭曲，从而达到sql注入。 */ public class JDBCTest06 { public static void main(String[] args) { // 初始化一个界面 Map<String,String> userLoginInfo = initUI(); // 验证用户名和密码 boolean loginSuccess = login(userLoginInfo); System.out.println(loginSuccess == true ? "登陆成功" : "登陆失败"); } /** * 用户登录 * @param userLoginInfo 用户登录信息 * @return true表示成功 false表示失败 */ private static boolean login(Map<String, String> userLoginInfo) { // JDBC代码 Connection conn = null; Statement stmt = null; ResultSet rs = null; boolean result = false; ResourceBundle rb = ResourceBundle.getBundle("loginUser"); String driver = rb.getString("driver"); String url = rb.getString("url"); String user = rb.getString("user"); String password = rb.getString("password"); String loginName = userLoginInfo.get("loginName"); String loginpwd = userLoginInfo.get("password"); try { // 1 注册驱动 // Class.forName("com.mysql.jdbc.Driver"); Class.forName(driver); // 2 获取连接 // conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/mydatabase","root","333"); conn = DriverManager.getConnection(url,user,password); // 3 获取数据库操作对象 stmt = conn.createStatement(); // 4 执行sql语句 String sql = "select * from t_user where loginName = '" + loginName + "' and loginpwd = '" + loginpwd +"'"; // 以上正好完成了sql语句的拼接，以下代码的含义是，发送sql语句给DBMS进行sql编译。 // 正好将用户提供的“非法信息”编译进去。导致了原sql语句的含义被扭曲了。 System.out.println(sql); rs = stmt.executeQuery(sql); // 5 处理返回结果集 if (rs.next()){ result = true; } } catch (ClassNotFoundException e) { e.printStackTrace(); } catch (SQLException e) { e.printStackTrace(); } finally { // 6 释放资源 if (rs != null) { try { rs.close(); } catch (SQLException e) { e.printStackTrace(); } } if (stmt != null) { try { stmt.close(); } catch (SQLException e) { e.printStackTrace(); } } if (conn != null) { try { conn.close(); } catch (SQLException e) { e.printStackTrace(); } } } return result; } /** * 初始化用户界面 * @return 用户输入的用户名和密码等登陆信息 */ private static Map<String, String> initUI() { Scanner scanner = new Scanner(System.in); System.out.print("用户名： "); String username = scanner.nextLine(); System.out.print("密码： "); String password = scanner.nextLine(); Map<String,String> userLoginInfo = new HashMap<>(); userLoginInfo.put("loginName",username); userLoginInfo.put("password",password); return userLoginInfo; } }
案例7：如何解决JDBC注入问题及Statement和PreparedStatement之间的区别？
package com.java.JDBC; import java.sql.*; import java.util.HashMap; import java.util.Map; import java.util.ResourceBundle; import java.util.Scanner; /* 1 解决sql注入问题 只要用户提供的信息不参与sql语句的编译过程，问题就解决了。 即使用户提供的信息中心含有sql语句的关键字，但是没有参与编译，不起作用。 要想用户信息不参与sql语句的编译，必须使用java.sql.PreparedStatement PreparedStatement接口继承了java.sql.Statement PreparedStatement是属于预编译的数据库操作系统 PreparedStatement原理是：预先对sql语句的框架进行编译，然后再给sql语句传“值” 2 解决sql注入的关键是什么？ 用户提供的信息中即使含有sql语句的关键字，但是这些关键字并没有参与编译，不起作用。 3 对比一下Statement和PreparedStatement？ - Statement存在sql注入问题，PreparedStatement解决了sql注入问题。 - Statement是编译一次执行一次，PreparedStatement是编译一次，可执行n次。PreparedStatement效率较高一些。 - PreparedStatement会在编译阶段做类型的安全检查。 综上所述：PreparedStatement使用较多，只有极少数的情况下需要使用Statement 4 什么情况下必须使用Statement呢？ 业务方面要求必须支持SQL注入的时候。 Statement支持sql注入，凡是业务方面要求是需要进行sql语句拼接的，必须使用Statement。 */ public class JDBCTest07 { public static void main(String[] args) { // 初始化一个界面 Map<String,String> userLoginInfo = initUI(); // 验证用户名和密码 boolean loginSuccess = login(userLoginInfo); System.out.println(loginSuccess == true ? "登陆成功" : "登陆失败"); } /** * 用户登录 * @param userLoginInfo 用户登录信息 * @return true表示成功 false表示失败 */ private static boolean login(Map<String, String> userLoginInfo) { // JDBC代码 Connection conn = null; PreparedStatement ps = null; // 这里使用PreparedStatement ResultSet rs = null; boolean result = false; ResourceBundle rb = ResourceBundle.getBundle("loginUser"); String driver = rb.getString("driver"); String url = rb.getString("url"); String user = rb.getString("user"); String password = rb.getString("password"); String loginName = userLoginInfo.get("loginName"); String loginpwd = userLoginInfo.get("password"); try { // 1 注册驱动 // Class.forName("com.mysql.jdbc.Driver"); Class.forName(driver); // 2 获取连接 // conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/mydatabase","root","333"); conn = DriverManager.getConnection(url,user,password); // 3 获取预编译的数据库操作对象 // sql语句的框子，其中一个?，表示一个占位符，一个?将来接收一个“值”，注意：占位符不能使用单引号括起来 String sql = "select * from t_user where loginName = ? and loginpwd = ?"; // 程序执行到此处，会发送slq语句框子给DBMS，然后DBMS进行sql语句的预先编译。 ps = conn.prepareStatement(sql); // 给占位符?传值（第1个问号下标是1，第2个问号下标是2，JDBC中所有下标从1开始） ps.setString(1,loginName); ps.setString(2,loginpwd); // 4 执行sql语句 rs = ps.executeQuery(); // 5 处理返回结果集 if (rs.next()){ result = true; } } catch (ClassNotFoundException e) { e.printStackTrace(); } catch (SQLException e) { e.printStackTrace(); } finally { // 6 释放资源 if (rs != null) { try { rs.close(); } catch (SQLException e) { e.printStackTrace(); } } if (ps != null) { try { ps.close(); } catch (SQLException e) { e.printStackTrace(); } } if (conn != null) { try { conn.close(); } catch (SQLException e) { e.printStackTrace(); } } } return result; } /** * 初始化用户界面 * @return 用户输入的用户名和密码等登陆信息 */ private static Map<String, String> initUI() { Scanner scanner = new Scanner(System.in); System.out.print("用户名： "); String username = scanner.nextLine(); System.out.print("密码： "); String password = scanner.nextLine(); Map<String,String> userLoginInfo = new HashMap<>(); userLoginInfo.put("loginName",username); userLoginInfo.put("password",password); return userLoginInfo; } }
案例8：使用Statement可以对查询结果集进行升序和降序，但是用PreparedStatement不行，因为他会预编译。
package com.java.JDBC; import java.sql.*; import java.util.Scanner; public class JDBCTest08 { public static void main(String[] args) { /*// 用户在控制台输入desc就是降序，输入asc就是升序 Scanner s = new Scanner(System.in); System.out.println("请输入desc或asc，desc表示降序，asc表示升序"); System.out.print("请输入： "); String keyWords = s.nextLine(); // 执行sql Connection conn = null; PreparedStatement ps = null; ResultSet rs = null; try { // 注册驱动 Class.forName("com.mysql.jdbc.Driver"); // 获取数据库连接 conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/mydatabase","root","333"); // 获取数据库对象 String sql = "select ename from emp order by ename ?"; ps = conn.prepareStatement(sql); // 执行sql语句 ps.setString(1,keyWords); // 处理查询结果集 rs = ps.executeQuery(); // 遍历结果集 while (rs.next()){ String ename = rs.getString("ename"); System.out.println(ename); } } catch (Exception e) { e.printStackTrace(); } finally { // 释放资源 if (rs != null) { try { rs.close(); } catch (SQLException e) { e.printStackTrace(); } } if (ps != null) { try { ps.close(); } catch (SQLException e) { e.printStackTrace(); } } if (conn != null) { try { conn.close(); } catch (SQLException e) { e.printStackTrace(); } } }*/ // 用户在控制台输入desc就是降序，输入asc就是升序 Scanner s = new Scanner(System.in); System.out.println("请输入desc或asc，desc表示降序，asc表示升序"); System.out.print("请输入： "); String keyWords = s.nextLine(); // 执行sql Connection conn = null; Statement stmt = null; ResultSet rs = null; try { // 注册驱动 Class.forName("com.mysql.jdbc.Driver"); // 获取数据库连接 conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/mydatabase","root","333"); // 获取数据库对象 stmt = conn.createStatement(); // 执行sql语句 String sql = "select ename from emp order by ename " + keyWords; // 处理查询结果集 rs = stmt.executeQuery(sql); // 遍历结果集 while (rs.next()){ String ename = rs.getString("ename"); System.out.println(ename); } } catch (Exception e) { e.printStackTrace(); } finally { // 释放资源 if (rs != null) { try { rs.close(); } catch (SQLException e) { e.printStackTrace(); } } if (stmt != null) { try { stmt.close(); } catch (SQLException e) { e.printStackTrace(); } } if (conn != null) { try { conn.close(); } catch (SQLException e) { e.printStackTrace(); } } } } }
