JDBC的使用步骤与注意事项

我就是我 2022-02-22 19:59 420阅读 0赞

## **一、注册JDBC驱动** ##

在开发中，我们用到的数据库可能不止一种，接下来我们来讲一下常用的数据库的驱动。首先，我们需要准备数据库连接所需的jar包。

一般有两种方式：第一种就是手动直接下载jar包，第二种就是在maven的pom.xml文件中导入依赖

mysql：

下载地址：[http://mvnrepository.com/artifact/mysql/mysql-connector-java/5.1.38][http_mvnrepository.com_artifact_mysql_mysql-connector-java_5.1.38]

驱动：com.mysql.jdbc.Driver

pom：

<dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
        <version>5.1.38</version>
    </dependency>

oracle：

下载地址：[https://mvnrepository.com/artifact/com.oracle/ojdbc6/11.2.0.3][https_mvnrepository.com_artifact_com.oracle_ojdbc6_11.2.0.3]

驱动：oracle.jdbc.driver.OracleDriver

pom：

<dependency>
        <groupId>com.oracle</groupId>
        <artifactId>ojdbc6</artifactId>
        <version>11.2.0.3</version>
    </dependency>

sqlServer：

下载地址：[http://mvnrepository.com/artifact/com.microsoft.sqlserver/mssql-jdbc/6.2.2.jre8][http_mvnrepository.com_artifact_com.microsoft.sqlserver_mssql-jdbc_6.2.2.jre8]

驱动：com.microsoft.sqlserver.jdbc.SQLServerDriver

pom：

<dependency>
        <groupId>com.microsoft.sqlserver</groupId>
        <artifactId>mssql-jdbc</artifactId>
        <version>6.2.2.jre8</version>
    </dependency>

前面都是jdbc连接数据库的准备工作，接下来我们正式开始。

注册jdbc驱动共有三种方式（DriverName指的是驱动包名）：

1、Class.forName(DriverName);（推荐使用）

2、直接创建一个驱动对象 new  com.mysql.jdbc.Driver()

3、Class.forName(DriverName).newInstance();

作用：1、将驱动载入内存中；2、将驱动注册到DriverManager。

## **二、获取连接对象Connection** ##

要连接数据库，必须先获取Connection对象，它代表着数据库的连接。使用DriverManager.getConnection(String url,String username,String password);

String url = "jdbc:mysql://localhost:3306/test";
    String username = "root";
    String password = "123456";
    try{
        connection conn = DriverManager.getConnection(url,username,password);
    }catch(SQLException se){
        System.out.println("connetion fail....");
        se.printStackTrace();  
    }

1、DriverManager是一个服务类，用于管理jdbc驱动程序，通过getConnection()方法建立数据库的连接。当jdbc驱动程序载入内存中，会主动向DriverManager注册。DriverManager.getConnection()会发出连接请求，DriverManager类就会用注冊的jdbc驱动程序来创建到数据库的连接。（getConnction()是一个静态方法）

2、DriverManager在java.sql包中。当我们调用sql包里不论什么一个类（包含接口）的不论什么一个方法时都会报一个编译时异常SQLException。这里我们使用一个try块后跟多个catch块解决。

4、方法參数URL：统一资源定位符。首先确定ip地址，然后通过port号来确定连接的是哪一类型数据库。port号又称服务号监听号，sqlserver为1433，mysql为3306，oracle为1521。下面写出经常使用的数据库url写法（dbName：数据库名称）：

oracle： jdbc:oracle:thin:@ip:1521:dbName；

mysql：jdbc:mysql://ip:3306:dbName；

sqlServer：jdbc:sqlserver://ip:1443;databaseName=dbName；

注意：当使用本机ip地址连接时须要关闭防火墙。否则连接不上，使用localhost或127.0.0.1则不用关闭防火墙。

## **三、创建Statement对象** ##

运行对象Statement负责SQL语句。由Connection对象产生。

Satement st = conn.createStatement();

Statement接口类派生出来两个接口类PreparedStatement和CallableStatement

1）、PreparedStatement能够对SQL进行预编译，这样防止了SQL注入，提高安全性（使用占位符？）

PreparedStatement ps = conn.preparedStatement("select * from dept where deptno=? and loc=?");
    
    ps.setInt(1,20);
    ps.setString(2,"anni");

2）、CallableStatement类继承了PreparedSatement类，主要用于执行数据库的存储过程

CallableStatement cstmt =con.prepareCall("\{CALLdemoSp(? , ?)\}") ;

## **四、运行sql** ##

Statement接口提供了三种运行SQL语句的方法：executeQuery、executeUpdate 和execute

1、executeQuery(String sqlString)：运行查询数据库的SQL语句。返回一个结果集（ResultSet）对象。

2、executeUpdate(String sqlString)：用于运行insert、update或delete语句以及DDL语句，如：create table和drop table等。

3、execute(sqlString)：用于运行返回多个结果集、多个更新计数或二者组合的 语句。

ResultSet rs = stmt.executeQuery("select \* from ...") ;

int rows = stmt.executeUpdate("insert into ...") ;

boolean flag =stmt.execute(String sql) ;

## **五、处理结果** ##

1、运行更新返回的是本次操作影响到的记录数。

2、运行查询返回的结果是一个ResultSet对象,ResultSet包括符合SQL语句中条件的全部行。而且它通过一套get方法提供了对这些行中数据的訪问。使用结果集（ResultSet）对象的訪问方法获取数据（列是从左到右编号的，而且从列1開始）：

while(rs.next()){      
        String name = rs.getString("name") ;  
        String pass = rs.getString(1) ; // 此方法比較高效     
    }

**六、释放资源**

操作完毕以后要把全部使用的JDBC对象全都关闭，以释放JDBC资源。关闭顺序和声明顺序相反：

关闭记录集、关闭声明、关闭连接对象。

if(rs != null){   // 关闭记录集      
        try{        
            rs.close() ; 
        }catch(SQLException e){   
            e.printStackTrace() ;  
        }           
    }  
         
    if(stmt != null){   // 关闭声明       
        try{          
            stmt.close() ;  
        }catch(SQLException e){ 
            e.printStackTrace() ; 
        }        
    }          
    
    if(conn != null){  // 关闭连接对象   
        try{           
            conn.close() ;        
        }catch(SQLException e){       
            e.printStackTrace() ; 
        }          
    }

在结束的时候我们讲一下，Statement的sql注入和PreparedStatement是如何防止sql注入：

1、Statement为什么会出现sql注入？

首先我们看一下Statement是如何将sql传给数据库执行的

String sql = "select* from users where username='" + userName
                + "' and password='" + passWord+"'";
    ResultSet result = state.executeQuery(sql);

Statement使用的是sql拼接的方式，将前台的参数传到sql语句中的，这个时候我们这样传：

**select \* from users where username='张三\#' and password='njksad'**，

**select \* from users where username='张三' and password='njksad' or 1=1**，

我们都知道在数据库中\#代表的是注释，那么这句sql就会变成这样：

**select \* from users where username='张三'**

其结果大家都知道，这样的sql导致password密码形同虚设。当然这只是举的一个例子，如果是删除或者修改语句可能会导致更加严重的问题。

//加载驱动
    Class.forName(com.mysql.jdbc.Driver);  
    
    //创建与mysql中某个数据库的连接     
    Connection con = DriverManager.getConnection("jdbc:mysql://....");  
     
    //创建一个Statement对象
    Statement st = con.CreateStatement();    
     
    //构建sql语句
    String id = "03";
    String sq = "delete from table1 where id="+id; 
    st.execute(sq);

2、PreparedStatement是如何防止sql注入？

*  PreparedStatement是Statement的子类，在创建PreparedStatement对象时就需要将sql语句传入，传入的过程中参数使用了占位符替代，这个过程会导致传入的sql被进行预编译，然后再调用PreparedStatement的setXXX将参数设置上去，由于sql语句已经经过了预编译，再传入特殊值也不会起作用了。
 *  实际开发中，一般采用PreparedStatement访问数据库，它不仅能防止sql注入，还是预编译的(不用改变一次参数就要重新编译整个sql语句，效率高)，此外，它执行查询语句得到的结果集是离线的，连接关闭后，仍然可以访问结果集。

Class.forName(com.mysql.jdbc.Driver);
    Connection con = DriverManager.getConnection("jdbc:mysql://....");
     
    //构建sql语句，以？作为占位符，这个位置的值待设置
    String sq = "delete from table1 where id=? and name=?"
    
    //创建PreparedStatement时就传入sql语句，实现了预编译
    PreparedStatement ps = con.prepareStatement(sq);    
     
    //设置sql语句的占位符的值，注意第一个参数位置是1不是0
    ps.setString(1,"03");
    ps.setString(2,"mao");
     
    //执行这个PreparedStatement
    ps.execute();

[http_mvnrepository.com_artifact_mysql_mysql-connector-java_5.1.38]: http://mvnrepository.com/artifact/mysql/mysql-connector-java/5.1.38
[https_mvnrepository.com_artifact_com.oracle_ojdbc6_11.2.0.3]: https://mvnrepository.com/artifact/com.oracle/ojdbc6/11.2.0.3
[http_mvnrepository.com_artifact_com.microsoft.sqlserver_mssql-jdbc_6.2.2.jre8]: http://mvnrepository.com/artifact/com.microsoft.sqlserver/mssql-jdbc/6.2.2.jre8