JDBC占位符

占位符的使用

Statement 接口的兩個問題:
　　第一個問題: 使用 Statement 接口 對象發送的 sql 語句需要再數據庫進行一次編譯之后成為指令才能執行,
　　　　　　      每條 sql 語句都需要編譯一次, 這樣是很慢的.
　　第二個問題: 使用 Statement 接口 操作的 sql 語句需要使用字符串的拼接方式實現,
　　　　　　　   這樣的方式可能存在 sql 注入的安全風險並且拼接字符串比較麻煩.

對比 Statement 接口, PreparedStatement 接口的優點:
　　1.使用該接口操作的 sql 語句會先預先編譯成指令在發送給數據庫, 數據庫就執行指令即可, 這樣就提高了一定速度,
　　2.該接口可以避開 sql 需要使用字符串拼接的方式, 從而解決 sql 注入的安全風險,
　　而是使用 占位符 (?) 來代替原來的字符串拼接.

Demo:實現無密碼登錄
不使用 sql 字符串拼接, 而是使用占位符來實現

public class TestMysql1 {
    //取得連接
    private static Connection conn =ConnectionUitl.getConnection();
    
    public static void main(String[] args) {
        selectLogin("smith","1234");
    }
    /**
     *     實現登錄
     * @param name    用戶名
     * @param password    密碼
     * @return
     */
    public static boolean selectLogin(String name, String password) {
        String sql = "SELECT * FROM myuser WHERE username=? AND password=?";
        System.out.println(sql);
        
        try {
            PreparedStatement pst = conn.prepareStatement(sql);
            //為占位符設置具體內容
            pst.setString(1, name);
            pst.setString(2, password);
            //發送 sql 語句
            ResultSet rst = pst.executeQuery();
            if (rst.next()) {
                System.out.println("登錄成功!");
            } else {
                System.out.println("用戶名或密碼錯誤!");
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
        return false;
    }
}

Demo: 插入數據 (使用占位符)

public class TestMysql2 {
    //取得連接
    private static Connection conn =ConnectionUitl.getConnection();
    
    public static void main(String[] args) {
        Emp emp = new Emp();
        emp.setEmpno(1009);
        emp.setEname("李四");
        emp.setJob("職員");
        emp.setMgr(8965);
        emp.setSal(10.00);
        emp.setComm(900.0);
        emp.setHiredate(new Date());
        emp.setDeptno(40);
        System.out.println(insertEmp(emp));
    }
    /**
     *     插入雇員信息的方法
     * @return
     */
    public static int insertEmp(Emp emp) {
        //定義出 sql 語句
        String sql = "INSERT INTO emp(empno,ename,job,sal,hiredate,mgr,comm,deptno)"
                +" VALUES(?,?,?,?,?,?,?,?)";
        
        try {
            //使用連接對象取得發送 sql 語句的對象 (PreparedStatement 接口對象)
            PreparedStatement pst = conn.prepareStatement(sql);
            //設置占位符的內容
            pst.setInt(1, emp.getEmpno());
            pst.setString(2,emp.getEname());
            pst.setString(3,emp.getJob());
            pst.setDouble(4,emp.getSal());
            pst.setDate(5,new java.sql.Date(emp.getHiredate().getTime()));
            pst.setInt(6,emp.getMgr());
            pst.setDouble(7,emp.getComm());
            pst.setInt(8,emp.getDeptno());
            //執行 sql 語句
            return pst.executeUpdate();
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            ConnectionUitl.close(conn);
        }
        return 0;
    }
}