20jdbc

小灰灰 2021-10-23 23:42 132阅读 0赞

jdbc  
概念及描述  
JDBC（Java DataBase Connectivity,java数据库连接）是一种用于执行SQL语句的Java API，可以为多种关系数据库提供统一访问，它由一组用Java语言编写的类和接口组成。JDBC提供了一种基准，据此可以构建更高级的工具和接口，使数据库开发人员能够编写数据库应用程序。  
数据库驱动  
我们安装好数据库之后，我们的应用程序也是不能直接使用数据库的，必须要通过相应的数据库驱动程序，通过驱动程序去和数据库打交道。其实也就是数据库厂商的JDBC接口实现，即对Connection等接口的实现类的jar文件。

常用接口  
1.Driver接口  
　　Driver接口由数据库厂家提供，作为java开发人员，只需要使用Driver接口就可以了。在编程中要连接数据库，必须先装载特定厂商的数据库驱动程序，不同的数据库有不同的装载方法。如：  
　　装载MySql驱动：Class.forName(“com.mysql.jdbc.Driver”);  
　　装载Oracle驱动：Class.forName(“oracle.jdbc.driver.OracleDriver”);  
2.Connection接口  
　　Connection与特定数据库的连接（会话），在连接上下文中执行sql语句并返回结果。DriverManager.getConnection(url, user, password)方法建立在JDBC URL中定义的数据库Connection连接上。  
　　连接MySql数据库：Connection conn = DriverManager.getConnection(“jdbc:mysql://host:port/database”, “user”, “password”);  
　　连接Oracle数据库：Connection conn = DriverManager.getConnection(“jdbc:oracle:thin:@host:port:database”, “user”, “password”);  
　　连接SqlServer数据库：Connection conn = DriverManager.getConnection(“jdbc:microsoft:sqlserver://host:port; DatabaseName=database”, “user”, “password”);  
　　常用方法：  
ocreateStatement()：创建向数据库发送sql的statement对象。  
oprepareStatement(sql) ：创建向数据库发送预编译sql的PrepareSatement对象。  
oprepareCall(sql)：创建执行存储过程的callableStatement对象。  
osetAutoCommit(boolean autoCommit)：设置事务是否自动提交。  
ocommit() ：在链接上提交事务。  
orollback() ：在此链接上回滚事务。  
3.Statement接口  
　　用于执行静态SQL语句并返回它所生成结果的对象。  
　　三种Statement类：  
oStatement：由createStatement创建，用于发送简单的SQL语句（不带参数）。  
oPreparedStatement ：继承自Statement接口，由preparedStatement创建，用于发送含有一个或多个参数的SQL语句。PreparedStatement对象比Statement对象的效率更高，并且可以防止SQL注入，所以我们一般都使用PreparedStatement。  
oCallableStatement：继承自PreparedStatement接口，由方法prepareCall创建，用于调用存储过程。  
　　常用Statement方法：  
oexecute(String sql):运行语句，返回是否有结果集  
oexecuteQuery(String sql)：运行select语句，返回ResultSet结果集。  
oexecuteUpdate(String sql)：运行insert/update/delete操作，返回更新的行数。  
oaddBatch(String sql) ：把多条sql语句放到一个批处理中。  
oexecuteBatch()：向数据库发送一批sql语句执行。  
4.ResultSet接口  
　　ResultSet提供检索不同类型字段的方法，常用的有：  
ogetString(int index)、getString(String columnName)：获得在数据库里是varchar、char等类型的数据对象。  
ogetFloat(int index)、getFloat(String columnName)：获得在数据库里是Float类型的数据对象。  
ogetDate(int index)、getDate(String columnName)：获得在数据库里是Date类型的数据。  
ogetBoolean(int index)、getBoolean(String columnName)：获得在数据库里是Boolean类型的数据。  
ogetObject(int index)、getObject(String columnName)：获取在数据库里任意类型的数据。  
　　ResultSet还提供了对结果集进行滚动的方法：  
onext()：移动到下一行  
oPrevious()：移动到前一行  
oabsolute(int row)：移动到指定行  
obeforeFirst()：移动resultSet的最前面。  
oafterLast() ：移动到resultSet的最后面。  
使用后依次关闭对象及连接：ResultSet → Statement → Connection  
使用jdbc步骤  
加载JDBC驱动程序 → 建立数据库连接Connection → 创建执行SQL的语句Statement → 处理执行结果ResultSet → 释放资源  
1.注册驱动 (只做一次)  
　　方式一：Class.forName(“com.MySQL.jdbc.Driver”);  
　　推荐这种方式，不会对具体的驱动类产生依赖。  
　　方式二：DriverManager.registerDriver(com.mysql.jdbc.Driver);  
　　会造成DriverManager中产生两个一样的驱动，并会对具体的驱动类产生依赖。  
2.建立连接  
　Connection conn = DriverManager.getConnection(url, user, password);  
　　URL用于标识数据库的位置，通过URL地址告诉JDBC程序连接哪个数据库，URL的写法为：  
　　  
　　其他参数如：useUnicode=true&characterEncoding=utf8  
3.创建执行SQL语句的statement  
1 //Statement  
2 String id = “5”;  
3 String sql = “delete from table where id=” + id;  
4 Statement st = conn.createStatement();  
5 st.executeQuery(sql);  
6 //存在sql注入的危险  
7 //如果用户传入的id为“5 or 1=1”，那么将删除表中的所有记录

1 //PreparedStatement 有效的防止sql注入(SQL语句在程序运行前已经进行了预编译,当运行时动态地把参数传给PreprareStatement时，即使参数里有敏感字符如 or '1=1’也数据库会作为一个参数一个字段的属性值来处理而不会作为一个SQL指令)  
2 String sql = “insert into user (name,pwd) values(?,?)”;  
3 PreparedStatement ps = conn.preparedStatement(sql);  
4 ps.setString(1, “col\_value”); //占位符顺序从1开始  
5 ps.setString(2, “123456”); //也可以使用setObject  
6 ps.executeQuery();

4.处理执行结果(ResultSet)  
1 ResultSet rs = ps.executeQuery();  
2 While(rs.next())\{  
3 rs.getString(“col\_name”);  
4 rs.getInt(1);  
5 //…  
6 \}  
5.释放资源

//数据库连接（Connection）非常耗资源，尽量晚创建，尽量早的释放  
//都要加try catch 以防前面关闭出错，后面的就不执行了  
1 try \{  
2 if (rs != null) \{  
3 rs.close();  
4 \}  
5 \} catch (SQLException e) \{  
6 e.printStackTrace();  
7 \} finally \{  
8 try \{  
9 if (st != null) \{  
10 st.close();  
11 \}  
12 \} catch (SQLException e) \{  
13 e.printStackTrace();  
14 \} finally \{  
15 try \{  
16 if (conn != null) \{  
17 conn.close();  
18 \}  
19 \} catch (SQLException e) \{  
20 e.printStackTrace();  
21 \}  
22 \}  
23 \}  
https://www.cnblogs.com/erbing/p/5805727.html  
sql注入  
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。 \[1\]  比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．  
CREATE TABLE `user` (  
`id` int(11) DEFAULT NULL,  
`name` varchar(100) DEFAULT NULL,  
`password` varchar(100) DEFAULT NULL  
) ENGINE=InnoDB DEFAULT CHARSET=utf8;