码迷,mamicode.com
首页 > 数据库 > 详细

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

时间:2020-01-16 19:12:50      阅读:81      评论:0      收藏:0      [点我收藏+]

标签:drive   public   驱动   lex   sql   接口实现   where   database   point   

一、MySQL数据库的下载及安装

https://www.mysql.com/

点击DOWNLOADS,拉到页面底部,找到MySQL Community(GPL)Downloads,点击

技术图片

 

 选择下图中的MySQL Community Server

技术图片

 

 选择想要的版本进行下载

技术图片

 

 之后的步骤,因为本人已经安装过MySQL数据库,而卸载重装会比较麻烦,卸载不干净会导致新的装不上,所以可以参考下面的博客,因为官网的改动,前面的部分已经与该博客不符,按照本人在上面的介绍寻找即可

https://blog.csdn.net/weixin_42555080/article/details/87884902

下面是数据库可视化工具Navicat的下载及破解教程

https://blog.csdn.net/WYpersist/article/details/86530973

二、使用JDBC利用Statement来对MySQL数据库进行简单的增删改查

JDBC:Java  DataBase Connectivity
可以为多种关系型数据库DBMS提供统一的访问方式,用java来操作数据库。
Java程序通过JDBC来操作JDBC DriverManager 来操作数据库驱动程序(如Mysql驱动程序),进而操作数据库(如Mysql数据库)。

1、JDBC API:提供各种访问接口
 三项功能:
 Java程序与数据库建立连接
 Java程序发送SQL语句给数据库
 数据库返回处理结果给Java程序
 
 三项功能具体通过下面类/接口实现
 DriverManager:管理JDBC驱动
 Connection:Java程序与数据库建立连接
 Statement( PreparedStatement子类):增删改查
 CallableStatement:调用数据库的存储过程/存储函数
 ResultSet: 数据库返回的结果集
 
 JDBC访问数据库的具体步骤
 a.导入驱动,加载具体的驱动类
 b.与数据库建立连接
 c.发送SQL,执行
 d.处理结果集(查询)

驱动jar
如mysql-connector-java-x.jar(其中x为具体的版本号)
具体驱动类:
如com.mysql.jdbc.Driver

连接字符串
数据库名、IP地址、端口号
如:jdbc:mysql://localhost:3306/数据库实例名


Connection产生操作数据库的对象
connection.createStatement():产生Statement
connection.prepareStatement():产生PreparedStatement
connection.prepareCall():产生CallableStatement



ResultSet: 数据库返回的结果集 select * from xxx(表名)
ResultSet rs=null;
rs.next();
1、下移
2、判断下移后的元素是否有数据
  如果不为空:返回true(有数据)
  如果为空:返回false(无数据)
rs.previous():
1、上移
2、判断上移后的元素是否有数据
  如果不为空:返回true(有数据)
  如果为空:返回false(无数据)

rs.getXXX(字段名|下标):获取rs指向行的数据 

 

 

Statement操作数据库
增删改:executeUpdate(sql)
查:executeQuery(sql)

 

实例

在Navicat建表如图

技术图片

 

 原码如下

package JDBCDemo;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

public class JDBCDemo {
    private static final String URL="jdbc:mysql://localhost:3306/mysql?serverTimezone=UTC&characterEncoding=utf-8";
    private static final String USERNAME="root";
    private static final String PWD="vayne";
        public static void update()
        {
            Statement stmt=null;
            Connection connection=null;
            try {
                
            //a.导入驱动,加载具体的驱动类
            Class.forName("com.mysql.cj.jdbc.Driver");
            //b.与数据库建立连接
            connection = DriverManager.getConnection(URL,USERNAME,PWD);
            //使用Ctrl+1,快速生成值来获取Connection
            //c.发送SQL,执行(增删改、查)
            stmt = connection.createStatement();
            //
            //String sql="insert into student values(1,‘张志伟‘,19)";
            //
            String sql="delete from student where name =‘zzw‘";
            //
            //String sql="update student set name =‘zzw‘ where id=1";
            //执行SQL
            int count=stmt.executeUpdate(sql);//返回值表示,增删改几条数据
            //处理结果
            if(count>0)
            {
                System.out.println("操作成功!!!");
            }
            
            }catch(ClassNotFoundException e) {
                e.printStackTrace();
            }catch(SQLException e) {
                e.printStackTrace();
            }catch(Exception e){
                e.printStackTrace();
            }finally {
                try {
                    //先开的后关,后开的先关
                if(stmt!=null)stmt.close();
                if(connection !=null)connection.close();
                }catch(SQLException e) {
                    e.printStackTrace();
                }finally {
                    
                }
            }
            
        }
        
        public static void query() {
            Statement stmt=null;
            Connection connection=null;
            ResultSet rs=null;
            try {
                
            //a.导入驱动,加载具体的驱动类
            Class.forName("com.mysql.cj.jdbc.Driver");
            //b.与数据库建立连接
            connection = DriverManager.getConnection(URL,USERNAME,PWD);
            //使用Ctrl+1,快速生成值来获取Connection
            //c.发送SQL,执行(增删改、查)
            stmt = connection.createStatement();
            //
            //String sql="select name,age from student";
            
            //模糊查询
            String aname="x";
            String sql="select * from student where name like‘%"+aname+"%‘";
            //执行SQL,增删改是executeUpdate(sql),查是executeQuery(sql)
            rs=stmt.executeQuery(sql);//返回值表示,增删改几条数据
            //处理结果
            while(rs.next()) {
                String sname=rs.getString("name");
                int sage=rs.getInt("age");
                System.out.println("姓名:"+sname+"年龄"+sage);
            }
            
            }catch(ClassNotFoundException e) {
                e.printStackTrace();
            }catch(SQLException e) {
                e.printStackTrace();
            }catch(Exception e){
                e.printStackTrace();
            }finally {
                try {
                    //先开的后关,后开的先关
                if(rs!=null)rs.close();
                if(stmt!=null)stmt.close();
                if(connection !=null)connection.close();
                }catch(SQLException e) {
                    e.printStackTrace();
                }finally {
                    
                }
            }
            
        }
        public static void main(String[] args) {
            //update();
            query();
        }
}

 

增和查

技术图片

 

 技术图片

 

 改和查

技术图片

 

 技术图片

 

 删和查

技术图片

 

 技术图片

 

 模糊查询

String aname="x";
String sql="select * from student where name like‘%"+aname+"%‘";

技术图片

 

 在表中添加如图

技术图片

 

 实现模糊查询

 

三、使用JDBC利用PreparedStatement来对MySQL数据库进行简单的增删改查

 

PreparedStatement操作数据库
因为PreparedStatement是Statement的子类
因此:
增删改:executeUpdate(sql)
查:executeQuery(sql)
赋值操作:setXXX();

实例

原码如下

package JDBCDemo;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

public class JDBCPrepareDemo {
    private static final String URL="jdbc:mysql://localhost:3306/mysql?serverTimezone=UTC&characterEncoding=utf-8";
    private static final String USERNAME="root";
    private static final String PWD="vayne";
        public static void update()
        {
            PreparedStatement pstmt=null;
            Connection connection=null;
            try {
                
            //a.导入驱动,加载具体的驱动类
            Class.forName("com.mysql.cj.jdbc.Driver");
            //b.与数据库建立连接
            connection = DriverManager.getConnection(URL,USERNAME,PWD);
            //使用Ctrl+1,快速生成值来获取Connection
            //c.发送SQL,执行(增删改、查)
            //
            //String sql="insert into student values(?,?,?)";
            //
            String sql="delete from student where name =‘zzw‘";
            //
            //String sql="update student set name =‘zzw‘ where id=66";
            //执行SQL
            
            pstmt = connection.prepareStatement(sql);//预编译
            //pstmt.setInt(1, 66);
            //pstmt.setString(2, "六六大顺");
            //pstmt.setInt(3, 6); 
            
            int count=pstmt.executeUpdate();//返回值表示,增删改几条数据
            //处理结果
            if(count>0)
            {
                System.out.println("操作成功!!!");
            }
            
            }catch(ClassNotFoundException e) {
                e.printStackTrace();
            }catch(SQLException e) {
                e.printStackTrace();
            }catch(Exception e){
                e.printStackTrace();
            }finally {
                try {
                    //先开的后关,后开的先关
                if(pstmt!=null)pstmt.close();
                if(connection !=null)connection.close();
                }catch(SQLException e) {
                    e.printStackTrace();
                }finally {
                    
                }
            }
            
        }
        
        public static void query() {
            PreparedStatement pstmt=null;
            Connection connection=null;
            ResultSet rs=null;
            try {
                
            //a.导入驱动,加载具体的驱动类
            Class.forName("com.mysql.cj.jdbc.Driver");
            //b.与数据库建立连接
            connection = DriverManager.getConnection(URL,USERNAME,PWD);
            //使用Ctrl+1,快速生成值来获取Connection
            //c.发送SQL,执行(增删改、查)
            //
            String sql="select name,age from student";
            
            //模糊查询
            //String sql="select * from student where name like ?";
            //执行SQL,增删改是executeUpdate(sql),查是executeQuery(sql)
            pstmt = connection.prepareStatement(sql);//预编译
            //pstmt.setString(1, "%x%");
            rs=pstmt.executeQuery();//返回值表示,增删改几条数据
            //处理结果
            while(rs.next()) {
                String sname=rs.getString("name");
                int sage=rs.getInt("age");
                System.out.println("姓名:"+sname+"年龄"+sage);
            }
            
            }catch(ClassNotFoundException e) {
                e.printStackTrace();
            }catch(SQLException e) {
                e.printStackTrace();
            }catch(Exception e){
                e.printStackTrace();
            }finally {
                try {
                    //先开的后关,后开的先关
                if(rs!=null)rs.close();
                if(pstmt!=null)pstmt.close();
                if(connection !=null)connection.close();
                }catch(SQLException e) {
                    e.printStackTrace();
                }finally {
                    
                }
            }
            
        }
        public static void main(String[] args) {
            update();
            query();
        }
}

 

增和查

技术图片

 

 技术图片

 

 改和查

技术图片

 

 技术图片

 

 删和查

技术图片

 

 技术图片

 

 

 

 模糊查询
            String sql="select * from student where name like ?";//预编译
            //执行SQL,增删改是executeUpdate(sql),查是executeQuery(sql)
            pstmt = connection.prepareStatement(sql);
            pstmt.setString(1, "%x%");

技术图片

 在表中添加如图

技术图片

 实现模糊查询

四、Statement和PreparedStatement的比较

推荐使用PreparedStatement,原因如下:
1、编码更加简便(避免了字符串拼接)
如:int id =1;String name="张志伟"
stmt:
String sql="insert into student(id,name) values("+id+",‘"+name+"‘)";
stmt.executeupdate(sql);

pstmt:
String sql="insert into student(id,name) values(?,?)";
pstmt=connection.prepareStatement(sql);//预编译sql
pstmt.setInt(1,id);
pstmt.setString(2,name);

2、可以提高性能(因为有预编译,预编译只编译一次)
当添加n次,
stmt:sql编译n次
pstmt:sql只编译一次


3、更加安全

stmt:存在被sql注入的风险
如:用户名:任意值 ’ or 1=1 --
   密码:任意值
   会登录成功
   select count(*) from login where uname=‘"+name+"‘ and upwd =‘"+pwd+"‘;
   进行代入检验:
   select count(*) from login where uname=‘任意值 ’ or 1=1 --‘ and upwd =‘任意值‘;
   uname=‘任意值 ’为false
   or
    1=1 为true
    --‘ and upwd =‘任意值‘;    sql语句中--为注释,后面全是注释
    所以,where的结果是true,登录成功
    相当于select count(*) from login

    sql注入:将客户输入的内容 和开发人员的SQL语句 混为一体

pstmt:可以防止sql注入


使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

标签:drive   public   驱动   lex   sql   接口实现   where   database   point   

原文地址:https://www.cnblogs.com/yeyueweiliang/p/12202679.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!