JDBC的全称为:Java DataBase Connectivity(Java数据库连接)。
是一种执行SQL语句的Java API,可以为多种关系型数据库提供统一的访问。
1.JDBC的API
(1)JDBC入门
package com.imooc.jdbc.demo1;import com.mysql.cj.jdbc.Driver;import java.sql.*;public class JDBCDemo1 { public void demo1() throws SQLException { //这里需要接受异常 //1.加载驱动 DriverManager.registerDriver(new Driver()); //2.获取连接 Connection conn = DriverManager.getConnection("jdbc:mysql://18.0.51.10:3306/jdbctest","root","123456"); //3.创建执行SQL语句的对象 String sql = "select * from user"; Statement stmt = conn.createStatement(); //4.执行sql语句 ResultSet resultSet = stmt.executeQuery(sql); while (resultSet.next()){ int uid = resultSet.getInt("uid"); String name = resultSet.getString("name"); String mobile = resultSet.getString("mobile"); String addr = resultSet.getString("addr"); System.out.println(uid+" "+name+" "+mobile+" "+addr); } //5.释放资源 resultSet.close(); stmt.close(); conn.close(); }}
如果数据库中文变成???,需要注意编码方式:
"jdbc:mysql://18.0.251.10:3306/jdbctest?useUnicode=yes&characterEncoding=utf8"
(2)JDBC的API——DriverManager的使用
DriverManager属于驱动管理类。
主要有两个作用:
a.注册驱动
DriverManager.registerDriver(new Driver());
但是这种方式会导致驱动注册两次。
因为在这个驱动中有一个静态代码块会注册驱动。所以更好的做法是加载静态代码块。
实际中会使用如下方式注册:
Class.forName("com.mysql.cj.jdbc.Driver");
b.获取连接
Connection conn = DriverManager.getConnection("jdbc:mysql://148.70.251.10:3306/jdbctest","root","123456");
jdbc:协议
mysql:子协议
(3)JDBC的API——Connection的使用
Connection主要用来连接对象。
主要作用:
a.创建执行SQL语句的对象
createStatement():创建一个Statement对象来将SQL语句发送到数据库。(执行SQL语句)
prepareStatement(String sql): 创建一个 PreparedStatement 对象来将参数化的 SQL 语句发送到数据库。(预编译SQL语句)
prepareCall(String sql):创建一个CallableStatement对象来调用数据库存储过程。(执行SQL中的存储过程)
b.进行事务的管理
setAutoCommit():将此连接的自动提交模式设置为给定状态。
commit():提交事务。
rollback():回滚
(4)JDBC的API——Statement的使用
Statement主要用来执行SQL语句。
a.执行SQL语句
execute(String sql):执行SQL,执行select返回true,否则返回false
executeQuery(String sql):执行SQL中的select语句,返回一个结果集
executeUpdate(String sql):执行SQL中的insert/update/delete语句,返回一个int类型的值
b.执行批处理操作
addBatch(String sql):添加到批处理
executeBatch():执行批处理
clearBatch():清空批处理
(5)JDBC的API——ResultSet的使用
ResultSet,结果集,就是查询语句接口的封装。
next():将光标从当前位置向前移动,也就是下一个值。
针对不同的类型的数据可以使用getXXX()获取数据。通用获取数据的方法getObject()。
(6)JDBC的资源释放
jdbc程序运行完后,切记要释放程序在运行过程中,创建的那些与数据库进行交互的对象。
这些对象通常是ResultSet,Statement和Connection对象。
每个数据库都有最大连接数,如果没有释放,可能导致无法建立新的数据库连接。
特别是Connection对象,它是非常稀有的资源,用完必须马上释放,
如果COnnection不能及时、正确的关闭,极易导致系统宕机。
Connection的使用原则是尽量晚创建,尽量早的释放。
常规释放方式:
resultSet.close();
stmt.close();
conn.close();
但是这种释放方式并不彻底,如果前面代码异常,那么可能无法得到释放。可以使用try-finally关键字:
package com.imooc.jdbc.demo1;import com.mysql.cj.jdbc.Driver;import java.sql.*;public class JDBCDemo1 { public void demo1() { //这里需要接受异常 Connection conn = null; Statement stmt = null; ResultSet resultSet = null; try { //1.加载驱动// DriverManager.registerDriver(new Driver()); Class.forName("com.mysql.cj.jdbc.Driver"); //2.获取连接 conn = DriverManager.getConnection("jdbc:mysql://148.70.251.10:3306/jdbctest", "root", "123456"); //3.创建执行SQL语句的对象 String sql = "select * from user"; stmt = conn.createStatement(); //4.执行sql语句 resultSet = stmt.executeQuery(sql); while (resultSet.next()) { int uid = resultSet.getInt("uid"); String name = resultSet.getString("name"); String mobile = resultSet.getString("mobile"); String addr = resultSet.getString("addr"); System.out.println(uid + " " + name + " " + mobile + " " + addr); } } catch (Exception e) { e.printStackTrace(); } finally { //不论结果如何都会释放连接 //5.释放资源 if (resultSet != null){ //需要对情况进行判断,如果可能没有创建连接,当然也无法释放连接 try { resultSet.close(); }catch (SQLException e){ e.printStackTrace(); } } if (stmt != null) { try { stmt.close(); } catch (SQLException e){ e.printStackTrace(); } stmt = null; } if (conn != null){ try { conn.close(); } catch (SQLException e) { e.printStackTrace(); } conn = null; //垃圾回收机制更早回收对象,提前回收 } } }}
2.JDBC的CRUD操作
所谓的CRUD就是数据库的增删改查。
(1)增删改
package com.imooc.jdbc.demo1;import org.junit.Test;import java.sql.Connection;import java.sql.DriverManager;import java.sql.SQLException;import java.sql.Statement;public class JDBCDemo2 { @Test public void demo2(){ Connection conn = null; Statement stmt = null; try { Class.forName("com.mysql.cj.jdbc.Driver"); conn = DriverManager.getConnection("jdbc:mysql://148.70.251.10:3306/jdbctest?useUnicode=yes&characterEncoding=utf8", "root", "123456"); //增 //String sql = "insert into user value(null,‘hao‘,‘18972068500‘,‘湖北安陆‘)"; //改 //String sql = "update user set mobile=‘15302723629‘ where name=‘ming‘"; //删 String sql = "delete from user where name=‘xing‘"; stmt = conn.createStatement(); int i = stmt.executeUpdate(sql); if (i > 0){ System.out.println("删除成功"); } } catch (Exception e) { e.printStackTrace(); } finally { if (stmt != null) { try { stmt.close(); } catch (SQLException e){ e.printStackTrace(); } stmt = null; } if (conn != null){ try { conn.close(); } catch (SQLException e) { e.printStackTrace(); } conn = null; } } }}
(2)查
a.查询多条记录
package com.imooc.jdbc.demo1;import org.junit.Test;import java.sql.*;public class JDBCDemo2 { @Test public void demo2(){ Connection conn = null; Statement stmt = null; ResultSet rs = null; try { Class.forName("com.mysql.cj.jdbc.Driver"); conn = DriverManager.getConnection("jdbc:mysql://148.70.251.10:3306/jdbctest?useUnicode=yes&characterEncoding=utf8", "root", "123456"); String sql = "select * from user"; stmt = conn.createStatement(); rs = stmt.executeQuery(sql); while (rs.next()){ int uid = rs.getInt("uid"); String name = rs.getString("name"); String mobile = rs.getString("mobile"); String addr = rs.getString("addr"); System.out.println(uid+" "+name+" "+mobile+" "+addr); } } catch (Exception e) { e.printStackTrace(); } finally { if (rs != null) { try { rs.close(); } catch (SQLException e) { e.printStackTrace(); } rs = null; } if (stmt != null) { try { stmt.close(); } catch (SQLException e){ e.printStackTrace(); } stmt = null; } if (conn != null){ try { conn.close(); } catch (SQLException e) { e.printStackTrace(); } conn = null; } } }}
b.查询单条记录
if (rs.next()){ int uid = rs.getInt("uid"); String name = rs.getString("name"); String mobile = rs.getString("mobile"); String addr = rs.getString("addr"); System.out.println(uid+" "+name+" "+mobile+" "+addr);}
3.JDBC工具类的抽取
为了简化JDBC的开发,可以将一些重复的代码进行提取。
(1)抽象工具类
package com.imooc.jdbc.utils;import java.sql.*;public class JDBCUtils { private static final String driverClass; private static final String ip; private static final String port; private static final String database; private static final String user; private static final String password; private static final String character; private static final String url; static { //静态加载 driverClass = "com.mysql.cj.jdbc.Driver"; ip = "148.70.251.10"; port = "3306"; database = "jdbctest"; user = "root"; password = "123456"; character = "useUnicode=yes&characterEncoding=utf8"; url = "jdbc:mysql://" + ip + ":" + port + "/" + database + "?" + character; } //加载驱动器 public static void loadDriver() throws ClassNotFoundException { Class.forName(driverClass); } //获取连接 public static Connection getConnection() throws Exception{ loadDriver(); Connection conn = DriverManager.getConnection(url, user, password); return conn; } //释放连接 public static void release(Statement stmt,Connection conn){ if (stmt != null) { try { stmt.close(); } catch (Exception e) { e.printStackTrace(); } stmt = null; } if (conn != null) { try { conn.close(); } catch (Exception e) { e.printStackTrace(); } conn = null; } } public static void release(ResultSet rs,Statement stmt,Connection conn){ if (rs != null) { try { rs.close(); } catch (Exception e) { e.printStackTrace(); } rs = null; } release(stmt,conn); }}
(2)简单使用
package com.imooc.jdbc.test;import com.imooc.jdbc.utils.JDBCUtils;import org.omg.Messaging.SYNC_WITH_TRANSPORT;import java.sql.ResultSet;import java.sql.Statement;import java.sql.Connection;public class test { public static void main(String[] args) { Connection conn = null; Statement stmt = null; ResultSet rs = null; try{ conn = JDBCUtils.getConnection(); //获取连接 stmt = conn.createStatement(); String sql = "select * from user"; rs = stmt.executeQuery(sql); while (rs.next()){ int uid = rs.getInt("uid"); String name = rs.getString("name"); String mobile = rs.getString("mobile"); String addr = rs.getString("addr"); System.out.println(uid+" "+name+" "+mobile+" "+addr); } } catch (Exception e) { e.printStackTrace(); } finally { JDBCUtils.release(rs,stmt,conn); //一次释放 } }}
(3)配置文件优化
如果我们想在一个配置文件中配置参数,可以将其剥离出来。
创建jdbc.properties,然后使用类加载器加载配置:
static { //加载属性文件并解析 Properties props = new Properties(); //通过类加载器获取 InputStream is = JDBCUtils.class.getClassLoader().getResourceAsStream("jdbc.properties"); try { props.load(is); } catch (IOException e) { e.printStackTrace(); } driverClass = props.getProperty("driverClass"); ip = props.getProperty("ip"); port = props.getProperty("prot"); database = props.getProperty("database"); user = props.getProperty("user"); password = props.getProperty("password"); character = props.getProperty("character"); url = "jdbc:mysql://" + ip + ":" + port + "/" + database + "?" + character;}
4.SQL注入
SQL注入的实质是修改了SQL语句。输入了SQL语句的关键字,从而修改了逻辑。
select * from user where username = “xxx” and password = “xxx”;
如果我们在输入username的时候进行注入,比如:
username = “xxx ‘or ‘1=1”
结果就变成这样了:
select * from user where username = “xxx ‘or ‘1=1” and password = “xxx”;
无形之间,就修改SQL语句的逻辑。
js校验能够拦截一些初级注入,但是可以修改url来突破。
上述问题还是在于,SQL语句采用的字符串拼接方式。
在python中采用字符串拼接或者%替换都无法解决SQL注入的问题,一般解决方法有二:
a.对传入的参数进行编码转义
b.使用python的MySQLdb模块的execute方法。
cursor.execute(query, params)
第一个是参数化的sql语句,第二个是对应的实际的参数值。
函数内部escape_string方法会对传入的参数值进行相应的处理(主要是转化为字符串)防止sql注入。
在Java中解决SQL注入漏洞可以使用PreparedStatement。
PreparedStatement是Statement的子接口,
它的实例对象可以通过调用Connection.preparedStatement(sql)方法获得,
相对于Statement对象而言:
PreperedStatement可以避免SQL注入的问题。
Statement会使数据库频繁编译SQL,可能造成数据库缓冲区溢出。
PreparedStatement可对SQL进行预编译,从而提高数据库的执行效率。
并且PreparedStatement对于sql中的参数,允许使用占位符的形式进行替换,简化SQL语句的编写。
String sql = "select * from user";
stmt = conn.createStatement(); //将其类型改为PreparedStatement即可
//执行sql语句
resultSet = stmt.executeQuery(sql);
采用预编译的方式,会将SQL语句的结构固定,你再传入关键字也不会改变SQL语句的结构。
String sql = “select * from user where username = ? and password = ?”
pstmt = conn.prepareStatement(sql)
pstmt.setString(1,username)
pstmt.setString(2,password)
pstmt.executeQuery()