什么是JDBC?
解释：JDBC全称 Java DataBase Connectivity，是使用java语言操作关系型数据库的一套标准接口，可以适应多种关系型数据库，比如oracle和DB2。
一、执行流程：
- 编写Java代码
- 将内嵌的SQL发送到MySQL服务端
- MySQL服务端接收SQL语句并且执行该SQL语句
- 将SQL语句执行结果返回给Java代码
二、根据执行流程，连接过程为：
1、注册驱动
Class.forname("com.mysql.jdbc.Driver")
2、获取连接
Connection connection=DriverManager.getConnection(url,username,password);
3、定义SQL语句
String sql="select* from xxx";
4、获取执行SQL对象
Statement statement = conn.createStatement();
5、执行SQL
Statement statement=statement.createStatement();
三、涉及到的API
DriverManger：工具类
（1）注册驱动
（2）获取数据库的连接
Statement：
public class Jdbc01 {
public static void main(String[] args) throws ClassNotFoundException, SQLException {
//1.注册驱动，可以省略不写
Class.forName("com.mysql.jdbc.Driver");
//2.构建数据库连接对象的参数，url，username，password
String url="jdbc:mysql:///xxx";
String username="root";
String password="root";
//3.获取数据库连接对象
Connection connection = DriverManager.getConnection(url,username,password);
//4.定义SQL语句
String sql="update xxx set ordered=1111 where id=1";
//5.获取执行SQL对象，执行SQL
Statement statement = connection.createStatement();
//6.返回结果集
int resultSet = statement.executeUpdate(sql);
System.out.println("受影响的行数"+resultSet);
statement.close();
connection.close();
}
}
Connection：数据库连接对象
（1）获取执行SQL对象
- 普通执行SQL对象
Statement createStatement() - 预编译SQL的执行SQL对象，防止SQL注入
PreparedStatement prepareStatement（sql） - 执行存储过程对象
CallableStatement prepareCall(sql)
（2）管理事务 - Mysql中对事物进行控制的语句
事物开启：
BEGIN/START TRANSA;
事物提交：
COMMIT;
事物回滚：
ROLLBACK;
- 对应JDBC事物管理
事物开启
setAutoCommit(false|true); true为自动提交事物，false为手动提交事务
事物提交
commit();
事物回滚
rollback();
模拟事物开启，提交以及回滚
public class Jdbc02 {
public static void main(String[] args) throws ClassNotFoundException, SQLException {
//jdbc的事务管理，开启、提交、回滚，connection支持对事物的管理
//mysql是默认提交的事务
Class.forName("com.mysql.jdbc.Driver");
String url="jdbc:mysql:///xxx";
String username="root";
String pasword="root";
//获取连接
Connection connection = DriverManager.getConnection(url,username,pasword);
//定义sql
String sql1="update tb_xxx set ordered=1111 where id=1";
String sql2="update tb_ xxx ordered=1111 where id=2";
//获取执行SQL的对象
Statement statement = connection.createStatement();
try {
//开启事物,true为自动提交事物，false为手动
connection.setAutoCommit(false);
int count1 = statement.executeUpdate(sql1);
int i=3/0;
System.out.println("影响的行数"+count1);
int count2 = statement.executeUpdate(sql2);
System.out.println("影响的行数"+count2);
//成功的时候进行事物的提交
connection.commit();
} catch (Exception e) {
e.printStackTrace();
//失败的时候进行回滚事物
connection.rollback();
}finally {
//无论成功还是失败，这里都需要关闭相应的资源
statement.close();
connection.close();
}
}
}
Statement:
（1）执行sql语句
- excuteUpdate 返回的是int类型，操作的行数
- excuteQuery 返回值为结果集
ResultSet
（1）获取查询结果，使用游标：返回false，当前行为无效行，没有数据，返回则有效。
（2）获取数据：getXxx
public class Jdbc03 {
public static void main(String[] args) throws SQLException {
String url="jdbc:mysql:///xxx";
String userName="root";
String password="root";
Connection connection = DriverManager.getConnection(url, userName, password);
String sql="select * from xxx";
Statement statement = connection.createStatement();
ResultSet resultSet = statement.executeQuery(sql);
while (resultSet.next()){
int id = resultSet.getInt("id");
String name = resultSet.getString("name");
System.out.println(id);
System.out.println(name);
}
resultSet.close();
statement.close();
connection.close();
}
}
SQL注入
为什么要使用PreparedStatement？
createStatement存在SQL注入问题，preparedStatement可以预防SQL注入问题
SQL注入：SQL注入是通过操作输入来修改事先定义好的SQL语句，用以达到执行代码对服务器进行攻击的方法。
模拟简单的SQL注入：首先新建一张sql表，只有username和password就行，随意插入两条数据。
public class Jdbc04 {
//模拟SQL注入问题
public static void main(String[] args) throws SQLException {
String url="jdbc:mysql:///xxx";
String username="root";
String password="root";
Connection connection = DriverManager.getConnection(url,username,password);
//模拟登陆,接收到账号和密码
String name="张三";
String pwd="' or '1'='1 ";
//定义SQL
String sql="select * from tb_user where username='"+name+"' and password='"+pwd+"'";
Statement statement = connection.createStatement();
ResultSet resultSet = statement.executeQuery(sql);
//判断是否登陆成功
if (resultSet.next()){
System.out.println("登陆成功");
System.out.println(sql);
}else {
System.out.println("登录失败");
}
//释放资源
resultSet.close();
statement.close();
connection.close();
}
}
结果是登录成功，因为or 1=1恒成立，SQL语句是这样的：
select * from tb_user where username='张三' and password='' or '1'='1 '
preparedStatement的使用：
（1）获取preparedStatement对象
（2）设置参数值
（3）执行SQL
public class Jdbc05 {
@Test
public void jdbcPrepareStatement() throws SQLException {
String url="jdbc:mysql:///xxx";
String username = "root";
String password = "root";
Connection connection = DriverManager.getConnection(url, username, password);
String name="张三";
String pwd="' or '1'='1 ";
String sql="select * from tb_user where username=? and password=?";
PreparedStatement preparedStatement = connection.prepareStatement(sql);
preparedStatement.setString(1,name);
preparedStatement.setString(2,pwd);
ResultSet resultSet = preparedStatement.executeQuery();
if (resultSet.next()){
System.out.println("登陆成功！");
} else{
System.out.println("登录失败！");
}
resultSet.close();
preparedStatement.close();
connection.close();
}
}
总结：preparedStatement的性能更好，而且将敏感字符进行转义。
