Java中JDBC的PreparedStatement用法
2016-07-17 14:59
477 查看
PreparedStatement
l 它是Statement接口的子接口;l 强大之处:
Ø 防SQL攻击;
Ø 提高代码的可读性、可维护性;
Ø 提高效率!
l 学习PreparedStatement的用法:
Ø 如何得到PreparedStatement对象:
¨ 给出SQL模板!
¨ 调用Connection的PreparedStatement prepareStatement(String sql模板);
¨ 调用pstmt的setXxx()系列方法sql模板中的?赋值!
¨ 调用pstmt的executeUpdate()或executeQuery(),但它的方法都没有参数。
l 预处理的原理
Ø 服务器的工作:
¨ 校验sql语句的语法!
¨ 编译:一个与函数相似的东西!
¨ 执行:调用函数
Ø PreparedStatement:
¨ 前提:连接的数据库必须支持预处理!几乎没有不支持的!
¨ 每个pstmt都与一个sql模板绑定在一起,先把sql模板给数据库,数据库先进行校验,再进行编译。执行时只是把参数传递过去而已!
¨ 若二次执行时,就不用再次校验语法,也不用再次编译!直接执行!
什么是SQL攻击
在需要用户输入的地方,用户输入的是SQL语句的片段,最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句!例如用户在登录时输入的用户名和密码都是为SQL语句的片段!演示SQL攻击
首先我们需要创建一张用户表,用来存储用户的信息。CREATE TABLE user( uid CHAR(32) PRIMARY KEY, username VARCHAR(30) UNIQUE KEY NOT NULL, password VARCHAR(30) ); INSERT INTO user VALUES('U_1001', 'cloud', 'cloud'); SELECT * FROM user; |
下面我们写一个login()方法!
public void login(String username, String password) { Connection con = null; Statement stmt = null; ResultSet rs = null; try { con = JdbcUtils.getConnection(); stmt = con.createStatement(); String sql = "SELECT * FROM user WHERE " + "username='" + username + "' and password='" + password + "'"; rs = stmt.executeQuery(sql); if(rs.next()) { System.out.println("欢迎" + rs.getString("username")); } else { System.out.println("用户名或密码错误!"); } } catch (Exception e) { throw new RuntimeException(e); } finally { JdbcUtils.close(con, stmt, rs); } } |
login("a' or 'a'='a", "a' or 'a'='a"); |
SELECT * FROM tab_user WHERE username='a' or 'a'='a' and password='a' or 'a'='a' |
防止SQL攻击
l 过滤用户输入的数据中是否包含非法字符;l 分步交验!先使用用户名来查询用户,如果查找到了,再比较密码;
l 使用PreparedStatement。
PreparedStatement是什么?
PreparedStatement也叫预编译声明!PreparedStatement是Statement的子接口,你可以使用PreparedStatement来替换Statement。
PreparedStatement的好处:
l 防止SQL攻击;
l 提高代码的可读性,以可维护性;
l 提高效率。
PreparedStatement的使用
l 使用Connection的prepareStatement(Stringsql):即创建它时就让它与一条SQL模板绑定;l 调用PreparedStatement的setXXX()系列方法为问号设置值
l 调用executeUpdate()或executeQuery()方法,但要注意,调用没有参数的方法;
String sql = “select * from tab_student where s_number=?”; PreparedStatement pstmt = con.prepareStatement(sql); pstmt.setString(1, “S_1001”); ResultSet rs = pstmt.executeQuery(); rs.close(); pstmt.clearParameters(); pstmt.setString(1, “S_1002”); rs = pstmt.executeQuery(); |
在得到PreparedStatement对象后,调用它的setXXX()方法为“?”赋值,这样就可以得到把模板变成一条完整的SQL语句,然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。
注意PreparedStatement对象独有的executeQuery()方法是没有参数的,而Statement的executeQuery()是需要参数(SQL语句)的。因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了,所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。
PreparedStatement最大的好处就是在于重复使用同一模板,给予其不同的参数来重复的使用它。这才是真正提高效率的原因。
所以,建议大家在今后的开发中,无论什么情况,都去需要PreparedStatement,而不是使用Statement。
JdbcUtils工具类
JdbcUtils的作用
连接数据库的四大参数是:驱动类、url、用户名,以及密码。这些参数都与特定数据库关联,如果将来想更改数据库,那么就要去修改这四大参数,那么为了不去修改代码,我们写一个JdbcUtils类,让它从配置文件中读取配置参数,然后创建连接对象。JdbcUtils代码
JdbcUtils.javapublic class JdbcUtils { private static final String dbconfig = "dbconfig.properties"; private static Properties prop = new Properties(); static { try { InputStream in = Thread.currentThread().getContextClassLoader().getResourceAsStream(dbconfig); prop.load(in); Class.forName(prop.getProperty("driverClassName")); } catch(IOException e) { throw new RuntimeException(e); } } public static Connection getConnection() { try { return DriverManager.getConnection(prop.getProperty("url"), prop.getProperty("username"), prop.getProperty("password")); } catch (Exception e) { throw new RuntimeException(e); } } } |
driverClassName=com.mysql.jdbc.Driver url=jdbc:mysql://localhost:3306/mydb1?useUnicode=true&characterEncoding=UTF8 username=root password=123 |
时间类型
Java中的时间类型
java.sql包下给出三个与数据库相关的日期时间类型,分别是:l Date:表示日期,只有年月日,没有时分秒。会丢失时间;
l Time:表示时间,只有时分秒,没有年月日。会丢失日期;
l Timestamp:表示时间戳,有年月日时分秒,以及毫秒。
这三个类都是java.util.Date的子类。
时间类型相互转换
把数据库的三种时间类型赋给java.util.Date,基本不用转换,因为这是把子类对象给父类的引用,不需要转换。java.sql.Date date
java.util.Date d = date;
java.sql.Time time
java.util.Date d = time;
java.sql.Timestamp timestamp
java.util.Date d = timestamp;
当需要把java.util.Date转换成数据库的三种时间类型时,这就不能直接赋值了,这需要使用数据库三种时间类型的构造器。java.sql包下的Date、Time、TimeStamp三个类的构造器都需要一个long类型的参数,表示毫秒值。创建这三个类型的对象,只需要有毫秒值即可。我们知道java.util.Date有getTime()方法可以获取毫秒值,那么这个转换也就不是什么问题了。
java.utl.Date d= new java.util.Date();
java.sql.Datedate = new java.sql.Date(d.getTime());//会丢失时分秒
Time time = newTime(d.getTime());//会丢失年月日
Timestamptimestamp = new Timestamp(d.getTime());
代码描述
我们来创建一个dt表:CREATE TABLE timeTest( d DATE, t TIME, ts TIMESTAMP ) |
@Test public void fun1() throws SQLException { Connection con = JdbcUtils.getConnection(); String sql = "insert into timeTest value(?,?,?)"; PreparedStatement pstmt = con.prepareStatement(sql); java.util.Date d = new java.util.Date(); pstmt.setDate(1, new java.sql.Date(d.getTime())); pstmt.setTime(2, new Time(d.getTime())); pstmt.setTimestamp(3, new Timestamp(d.getTime())); pstmt.executeUpdate(); } |
@Test public void fun2() throws SQLException { Connection con = JdbcUtils.getConnection(); String sql = "select * from timeTest "; PreparedStatement pstmt = con.prepareStatement(sql); ResultSet rs = pstmt.executeQuery(); rs.next(); java.util.Date d1 = rs.getDate(1); java.util.Date d2 = rs.getTime(2); java.util.Date d3 = rs.getTimestamp(3); System.out.println(d1); System.out.println(d2); System.out.println(d3); } |
批处理
Statement批处理
批处理就是一批一批的处理,而不是一个一个的处理!当你有10条SQL语句要执行时,一次向服务器发送一条SQL语句,这么做效率上很差!处理的方案是使用批处理,即一次向服务器发送多条SQL语句,然后由服务器一次性处理。
批处理只针对更新(增、删、改)语句,批处理没有查询什么事儿!
可以多次调用Statement类的addBatch(Stringsql)方法,把需要执行的所有SQL语句添加到一个“批”中,然后调用Statement类的executeBatch()方法来执行当前“批”中的语句。
l void addBatch(String sql):添加一条语句到“批”中;
l int[] executeBatch():执行“批”中所有语句。返回值表示每条语句所影响的行数据;
l void clearBatch():清空“批”中的所有语句。
for(int i = 0; i < 10; i++) { String number = "S_10" + i; String name = "stu" + i; int age = 20 + i; String gender = i % 2 == 0 ? "male" : "female"; String sql = "insert into stu values('" + number + "', '" + name + "', " + age + ", '" + gender + "')"; stmt.addBatch(sql); } stmt.executeBatch(); |
还可以在执行“批”之前,调用Statement的clearBatch()方法来清空“批”!
PreparedStatement批处理
PreparedStatement的批处理有所不同,因为每个PreparedStatement对象都绑定一条SQL模板。所以向PreparedStatement中添加的不是SQL语句,而是给“?”赋值。con = JdbcUtils.getConnection(); String sql = "insert into stu values(?,?,?,?)"; pstmt = con.prepareStatement(sql); for(int i = 0; i < 10; i++) { pstmt.setString(1, "S_10" + i); pstmt.setString(2, "stu" + i); pstmt.setInt(3, 20 + i); pstmt.setString(4, i % 2 == 0 ? "male" : "female"); pstmt.addBatch(); } pstmt.executeBatch(); |
相关文章推荐
- 关于java除法的一个有趣例子。
- Java中Synchronized的用法
- 【ITOO】——Spring.net基础及简单使用
- java8新特性之接口定义增强
- SDUT OJ 1114(第一个正式的JAVA程序)
- 辗转相除法原理及Java实现
- Java中 ArrayList、LinkedList、Vector之间的区别
- 安装JDK8u91之后打开Eclipse报错:
- WebService学习总结十 使用Spring发布WebService并添加拦截器
- javascripct导图
- JAVA中三种类型的变量
- String类源码分析(JDK1.7)
- java设计模式-工厂模式
- java文件及读写操作
- SSM框架整合(IntelliJ IDEA + maven + Spring + SpringMVC + MyBatis)
- 开源java数据库库
- Servlet的生命周期
- 《java虚拟机》汇总所有关键要点
- java设计模式之单例模式
- 关于java中的编码问题