MySQL數據庫學習筆記（九）----JDBC的ResultSet接口（查詢操作）、PreparedStatement接口重構增刪改查（含SQL注入的解釋）

【聲明】 

歡迎轉載，但請保留文章原始出處→_→ 

生命壹號：http://www.cnblogs.com/smyhvae/

文章來源：http://www.cnblogs.com/smyhvae/p/4050825.html

 

【正文】

首先需要回顧一下上一篇文章中的內容：MySQL數據庫學習筆記（八）----JDBC入門及簡單增刪改數據庫的操作

一、ResultSet接口的介紹：

對數據庫的查詢操作，一般需要返回查詢結果，在程序中，JDBC為我們提供了ResultSet接口來專門處理查詢結果集。

Statement通過以下方法執行一個查詢操作：

ResultSet executeQuery(String sql) throws SQLException 

單詞Query就是查詢的意思。函數的返回類型是ResultSet，實際上查詢的數據並不在ResultSet里面，依然是在數據庫里，ResultSet中的next()方法類似於一個指針，指向查詢的結果，然后不斷遍歷。所以這就要求連接不能斷開。

ResultSet接口常用方法：

• boolean next()     遍歷時，判斷是否有下一個結果
• int getInt(String columnLabel)
• int getInt(int columnIndex)
• Date getDate(String columnLabel)
• Date getDate(int columnIndex)
• String getString(String columnLabel)
• String getString(int columnIndex)

 

二、ResultSet接口實現查詢操作：

步驟如下：（和上一篇博文中的增刪改的步驟類似哦）

• 1、加載數據庫驅動程序：Class.forName(驅動程序類)
• 2、通過用戶名密碼和連接地址獲取數據庫連接對象：DriverManager.getConnection(連接地址,用戶名,密碼)
• 3、構造查詢SQL語句
• 4、創建Statement實例：Statement stmt = conn.createStatement()
• 5、執行查詢SQL語句，並返回結果：ResultSet rs = stmt.executeQuery(sql)
• 6、處理結果
• 7、關閉連接：rs.close()、stmt.close()、conn.close()

我們來舉個例子吧，來查詢下面的這個表：

新建工程JDBC02，依舊先導入jar包。然后新建類，完整版代碼如下：

package com.vae.jdbc;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

public class JdbcQuey {


    //數據庫連接地址
    private final static String URL = "jdbc:mysql://localhost:3306/JDBCdb";
    //用戶名
    public final static String USERNAME = "root";
    //密碼
    public final static String PASSWORD = "smyh";
    //加載的驅動程序類（這個類就在我們導入的jar包中）
    public final static String DRIVER = "com.mysql.jdbc.Driver";
    
    public static void main(String[] args) {
        // TODO Auto-generated method stub
        query();

    }
    
    
    //方法：查詢操作
    public static void query(){
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "select id,name,age,description from person";
            Statement state = conn.createStatement();
            //執行查詢並返回結果集
            ResultSet rs = state.executeQuery(sql);
            while(rs.next()){  //通過next來索引：判斷是否有下一個記錄
                //rs.getInt("id"); //方法：int java.sql.ResultSet.getInt(String columnLabel) throws SQLException
                int id = rs.getInt(1);  //方法：int java.sql.ResultSet.getInt(int columnIndex) throws SQLException

                String name = rs.getString(2);
                int age = rs.getInt(3);
                String description = rs.getString(4);
                System.out.println("id="+id+",name="+name+",age="+age+",description="+description);
            }
            rs.close();
            state.close();
            conn.close();            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

關於代碼的解釋，可以看上一篇博客。上方代碼的核心部分是37至45行。

37行：next()函數：通過next來索引，判斷是否有下一個記錄。一開始就指向內存的首地址，即第一條記錄，如果返回值為true，指針會自動指向下一條記錄。

38、39行：getInt(String columnLabel)或者getInt(int columnIndex)代表的是列的索引，參數可以是列的名字，也可以用編號來表示，我們一般采用后者。編號的順序是按照33行sql語句中列的順序來定的。

程序運行后，后台輸出如下：

上一篇博客+以上部分，實現了對數據庫的簡單增刪改查的操作。其實這種拼接的方式很不好：既麻煩又不安全。我們接下來進行改進。

 

三、使用PreparedStatement重構增刪改查（推薦）

概念：表示預編譯的SQL語句的對象。SQL語句被預編譯並存儲在PreparedStatement對象中。然后可以使用此對象多次高效地執行該語句。PreparedStatement是Statement的一個接口。

作用：靈活處理sql語句中的變量。

舉例：

以下面的這張數據庫表為例：

新建Java工程文件JDBC3。新建一個Person類，方便在主方法里進行操作。Person類的代碼如下：

package com.vae.jdbc;

public class Person {

    private int id;
    private String name;
    private int age;
    private String description;
    
    public int getId() {
        return id;
    }
    public void setId(int id) {
        this.id = id;
    }
    public String getName() {
        return name;
    }
    public void setName(String name) {
        this.name = name;
    }
    public int getAge() {
        return age;
    }
    public void setAge(int age) {
        this.age = age;
    }
    public String getDescription() {
        return description;
    }
    public void setDescription(String description) {
        this.description = description;
    }
    
    public Person(int id, String name, int age, String description) {
        super();
        this.id = id;
        this.name = name;
        this.age = age;
        this.description = description;
    }    
    
    public Person(String name, int age, String description) {
        super();
        this.name = name;
        this.age = age;
        this.description = description;
    }
    public Person() {
        super();
    }
    
    @Override
    public String toString() {
        return "Person [id=" + id + ", name=" + name + ", age=" + age
                + ", description=" + description + "]";
    }
    
    
}

上方是一個簡單的Person類，並添加set和get方法以及構造方法，無需多解釋。

插入操作：

現在在主類JDBCtest中實現插入操作，完整代碼如下：

package com.vae.jdbc;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.SQLException;

public class JDBCtest {


    //數據庫連接地址
    public final static String URL = "jdbc:mysql://localhost:3306/JDBCdb";
    //用戶名
    public final static String USERNAME = "root";
    //密碼
    public final static String PASSWORD = "smyh";
    //驅動類
    public final static String DRIVER = "com.mysql.jdbc.Driver";
    
    
    public static void main(String[] args) {
        // TODO Auto-generated method stub
        Person p = new Person("smyhvae",22,"我是在Java代碼中插入的數據");
        insert(p);
    }
    


    //方法：使用PreparedStatement插入數據
    public static void insert(Person p){
        
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "insert into person(name,age,description)values(?,?,?)";
            PreparedStatement ps = conn.prepareStatement(sql);
            //設置占位符對應的值
            ps.setString(1, p.getName());
            ps.setInt(2, p.getAge());
            ps.setString(3, p.getDescription());
            
            ps.executeUpdate();
            
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }        
    }
}

我們來看一下上面的代碼是怎么實現代碼的優化的：

30行：將整個person對象進去，代表的是數據庫中的一條記錄。

35行：問號可以理解為占位符，有幾個問號就代表要插入幾個列，這樣看來sql代碼就比較簡潔。

38至40行：給35行的問號設值，參數1代表第一個問號的位置，以此類推。

然后我們在main主方法中給Person設具體的值（23行），通過insert()方法就插入到數據庫中去了。數據庫中就多了一條記錄：

更新操作：

代碼和上方類似，修改操作的方法如下：

    //方法：使用PreparedStatement更新數據
    public static void update(Person p){
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "update person set name=?,age=?,description=? where id=?";
            PreparedStatement ps = conn.prepareStatement(sql);
            //設置占位符對應的值
            ps.setString(1, p.getName());
            ps.setInt(2, p.getAge());
            ps.setString(3, p.getDescription());
            ps.setInt(4, p.getId());
            
            ps.executeUpdate();
            
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }

因為在這里有四個問號的占位符，所以稍后再main方法中記得使用四個參數的Person構造方法，傳遞四個參數。

刪除操作：

代碼和上方類似，方法如下：

    //方法：使用PreparedStatement刪除數據
    public static void delete(int id){
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "delete from person where id=?";
            PreparedStatement ps = conn.prepareStatement(sql);
            //設置占位符對應的值
            ps.setInt(1, id);
            
            ps.executeUpdate();
            
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }

這里的方法中，傳入的參數是是一個id。

查詢操作：

    // 使用PreparedStatement查詢數據
    public static Person findById(int id){
        Person p = null;
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "select name,age,description from person where id=?";
            PreparedStatement ps = conn.prepareStatement(sql);
            //設置占位符對應的值
            ps.setInt(1, id);
            
            ResultSet rs = ps.executeQuery();
            if(rs.next()){
                p = new Person();
                p.setId(id);
                p.setName(rs.getString(1));
                p.setAge(rs.getInt(2));
                p.setDescription(rs.getString(3));
                //把 java.sql.Date 與 java.util.Date之間的轉換
//                java.util.Date date = rs.getDate(4);
//                ps.setDate(4, new java.sql.Date(date.getTime()));
                
            }
            rs.close();
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }
        return p;
    }

查詢操作稍微麻煩一點，在方法中傳入的參數是id，方法的返回值是查詢的結果，即Person類。

 

四、PreparedStatement小結：

在JDBC應用中，如果你已經是稍有水平開發者，你就應該始終以PreparedStatement代替Statement。也就是說，在任何時候都不要使用Statement。

基於以下的原因：

• 一、代碼的可讀性和可維護性
• 二、PreparedStatement可以盡最大可能提高性能
• 三、最重要的一點是極大地提高了安全性

如果使用Statement而不使用PreparedStatement，則會造成一個安全性問題：SQL注入

來看一下SQL注入是怎么回事。現在有如下的一張用戶名密碼表user：

我們在執行如下sql語句進行查詢：

select id,name,pwd from user where name='xxx' and pwd = 'x' or '1'='1'

 

竟能出奇地查到所有的用戶名、密碼信息：

因為1=1永遠是成立的，所以這句話永遠都成立。所以在Java代碼中，可以利用這個漏洞，將上方的藍框部分內容當做pwd的變量的內容。來舉個反例：使用Statement寫一個登陸的操作：

    //登 錄(Statement：會造成SQL注入的安全性問題)
    public static void login(String name,String pwd){
        Person p = null;
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
//            String sql = "select id,name,pwd from user where name='' and pwd=''";
            
            StringBuffer sql = new StringBuffer("select id,name,pwd from user where name='");
            sql.append(name).append("' and pwd='").append(pwd).append("'");
            Statement ps = conn.createStatement();
            
            ResultSet rs = ps.executeQuery(sql.toString());
            if(rs.next()){
            }
            rs.close();
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }

上方代碼中的第10行就是采用字符串拼接的方式，就會造成SQL注入的安全性問題。

而如果使用PreparedStatement中包含問號的sql語句，程序就會先對這句sql語句進行判斷，就不會出現字符串拼接的現象了。

 

五、完整版代碼：

最后附上本文中，PreparedStatement接口重構增刪改查的完整版代碼：

package com.vae.jdbc;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class JDBCtest {


    //數據庫連接地址
    public final static String URL = "jdbc:mysql://localhost:3306/JDBCdb";
    //用戶名
    public final static String USERNAME = "root";
    //密碼
    public final static String PASSWORD = "smyh";
    //驅動類
    public final static String DRIVER = "com.mysql.jdbc.Driver";
    
    
    public static void main(String[] args) {
        // TODO Auto-generated method stub
        Person p = new Person();
        //insert(p);
        //update(p);
        //delete(3);
        p = findById(2);
        System.out.println(p);
    }
    
    
    //方法：使用PreparedStatement插入數據
    public static void insert(Person p){
        
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "insert into person(name,age,description)values(?,?,?)";
            PreparedStatement ps = conn.prepareStatement(sql);
            //設置占位符對應的值
            ps.setString(1, p.getName());
            ps.setInt(2, p.getAge());
            ps.setString(3, p.getDescription());
            
            ps.executeUpdate();
            
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }        
    }
    
    
    //方法：使用PreparedStatement更新數據
    public static void update(Person p){
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "update person set name=?,age=?,description=? where id=?";
            PreparedStatement ps = conn.prepareStatement(sql);
            //設置占位符對應的值
            ps.setString(1, p.getName());
            ps.setInt(2, p.getAge());
            ps.setString(3, p.getDescription());
            ps.setInt(4, p.getId());
            
            ps.executeUpdate();
            
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
    
    
    //方法：使用PreparedStatement刪除數據
    public static void delete(int id){
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "delete from person where id=?";
            PreparedStatement ps = conn.prepareStatement(sql);
            //設置占位符對應的值
            ps.setInt(1, id);
            
            ps.executeUpdate();
            
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
    
    
    // 使用PreparedStatement查詢數據
    public static Person findById(int id){
        Person p = null;
        try {
            Class.forName(DRIVER);
            Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
            String sql = "select name,age,description from person where id=?";
            PreparedStatement ps = conn.prepareStatement(sql);
            //設置占位符對應的值
            ps.setInt(1, id);
            
            ResultSet rs = ps.executeQuery();
            if(rs.next()){
                p = new Person();
                p.setId(id);
                p.setName(rs.getString(1));
                p.setAge(rs.getInt(2));
                p.setDescription(rs.getString(3));
                //把 java.sql.Date 與 java.util.Date之間的轉換
//                java.util.Date date = rs.getDate(4);
//                ps.setDate(4, new java.sql.Date(date.getTime()));
                
            }
            rs.close();
            ps.close();
            conn.close();
            
            
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        }
        return p;
    }
    

}