JDBC讲解(第三篇)

标签：语句第三篇 String 讲解 preparedStatement JDBC SQL id PreparedStatement

PreparedStatement接口防止SQL注入

使用PreparedStatement接口是防止SQL注入的一种有效方法。

SQL注入

SQL注入是一种常见的网络攻击手段，攻击者通过在应用程序的输入字段中插入恶意的SQL代码，试图干扰或破坏正常的数据库操作。为了防止这种攻击，Java的JDBC API提供了PreparedStatement，它允许你创建一个带有占位符（通常是问号?）的SQL语句，并在执行之前用实际的值替换这些占位符。

为什么`PreparedStatement`能防止SQL注入？

参数化查询：PreparedStatement使用参数化查询，这意味着SQL语句的结构在编译时就已经确定，而输入参数的值是在运行时提供的。这样，数据库就能够区分SQL语句的结构和参数值，从而防止了恶意输入被当作SQL代码执行。
类型安全：当你使用PreparedStatement设置参数时，你需要指定参数的类型（如setInt、setString、setBigDecimal等）。这有助于数据库验证参数值的类型，并防止不合适的值被注入到SQL语句中。
预编译：PreparedStatement对象在创建时会被预编译，并且可以在后续的执行中被重复使用。这不仅提高了性能，还减少了SQL语句被篡改的风险。
转义特殊字符：PreparedStatement会自动处理输入值中的特殊字符，如单引号'，防止它们被解释为SQL语句的一部分。

如何使用`PreparedStatement`防止SQL注入？

以下是一个使用PreparedStatement进行安全查询的示例：

String userInput = "..."; // 假设这是从用户那里获取的输入
String query = "SELECT * FROM users WHERE username = ? AND password = ?";
try (Connection connection = DriverManager.getConnection(DB_URL, USER, PASS);
     PreparedStatement preparedStatement = connection.prepareStatement(query)) {

    // 设置参数，注意使用正确的方法来匹配数据库字段的类型
    preparedStatement.setString(1, userInput); // 假设username是VARCHAR类型
    // 注意：在真实场景中，密码通常不会以明文形式存储或比较，这里仅作为示例
    preparedStatement.setString(2, userProvidedPassword); // 假设password也是VARCHAR类型

    // 执行查询并处理结果
    try (ResultSet resultSet = preparedStatement.executeQuery()) {
        while (resultSet.next()) {
            // 处理查询结果
        }
    }
} catch (SQLException e) {
    // 处理SQL异常
    e.printStackTrace();
}

在这个例子中，?是占位符，它们在执行PreparedStatement的setString方法时被实际的用户输入值替换。由于SQL语句的结构和参数值是分开的，数据库能够正确地解析SQL语句，而不会将用户输入解释为SQL代码的一部分。

总之，使用PreparedStatement是防止SQL注入的最佳实践之一。它提供了一种类型安全、性能高效且易于维护的方法来执行参数化查询。

`PreparedStatement接口常用的方法`

PreparedStatement接口是Java JDBC API的一部分，它继承自Statement接口，并提供了预编译SQL语句和执行参数化查询的能力。以下是PreparedStatement接口的一些常用方法：

int executeUpdate()
- 执行在此PreparedStatement对象中的SQL语句，该语句必须是一个SQL数据操作语言（DML）语句，比如INSERT、UPDATE或DELETE语句，或者是无返回内容的SQL语句，比如DDL语句。
ResultSet executeQuery()
- 执行在此PreparedStatement对象中的SQL查询，并返回该查询生成的ResultSet对象。
boolean execute()
- 执行在此PreparedStatement对象中的SQL语句，该语句可以是任何种类的SQL语句。
void setXxx(int parameterIndex, Xxx value)
- 这是一系列用于设置SQL语句中参数值的方法。Xxx代表不同的Java数据类型，如Int、String、Date等。parameterIndex是参数的索引（从1开始），value是要设置的参数值。
- 例如：
  - setInt(int parameterIndex, int value)：将指定参数设置为给定的Java int值。
  - setString(int parameterIndex, String value)：将指定参数设置为给定的Java String值。
  - setDate(int parameterIndex, Date value)：将指定参数设置为给定的java.sql.Date值（注意不是java.util.Date）。
void setObject(int index,Object)

除基本数据类型外，参数类型也可以是Object,可以将Object对象x设置为index位置的参数。

PreparedStatement增删改查案例

以下是一个使用PreparedStatement接口编写的简短增删改查（CRUD）案例。这个案例假设我们有一个名为users的数据库表，其中包含id（主键）、username和email字段。

首先，确保你已经导入了必要的JDBC库，并且有一个可用的数据库连接。

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class UserDao {
    private static final String DB_URL = "jdbc:mysql://localhost:3306/your_database";
    private static final String USER = "your_username";
    private static final String PASS = "your_password";

    // 插入新用户
    public void insertUser(String username, String email) {
        String sql = "INSERT INTO users (username, email) VALUES (?, ?)";
        try (Connection connection = DriverManager.getConnection(DB_URL, USER, PASS);
             PreparedStatement preparedStatement = connection.prepareStatement(sql)) {
            preparedStatement.setString(1, username);
            preparedStatement.setString(2, email);
            preparedStatement.executeUpdate();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }

    // 根据ID更新用户信息
    public void updateUser(int id, String newUsername, String newEmail) {
        String sql = "UPDATE users SET username = ?, email = ? WHERE id = ?";
        try (Connection connection = DriverManager.getConnection(DB_URL, USER, PASS);
             PreparedStatement preparedStatement = connection.prepareStatement(sql)) {
            preparedStatement.setString(1, newUsername);
            preparedStatement.setString(2, newEmail);
            preparedStatement.setInt(3, id);
            preparedStatement.executeUpdate();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }

    // 根据ID删除用户
    public void deleteUser(int id) {
        String sql = "DELETE FROM users WHERE id = ?";
        try (Connection connection = DriverManager.getConnection(DB_URL, USER, PASS);
             PreparedStatement preparedStatement = connection.prepareStatement(sql)) {
            preparedStatement.setInt(1, id);
            preparedStatement.executeUpdate();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }

    // 根据ID查询用户信息
    public User getUserById(int id) {
        String sql = "SELECT id, username, email FROM users WHERE id = ?";
        try (Connection connection = DriverManager.getConnection(DB_URL, USER, PASS);
             PreparedStatement preparedStatement = connection.prepareStatement(sql)) {
            preparedStatement.setInt(1, id);
            try (ResultSet resultSet = preparedStatement.executeQuery()) {
                if (resultSet.next()) {
                    User user = new User();
                    user.setId(resultSet.getInt("id"));
                    user.setUsername(resultSet.getString("username"));
                    user.setEmail(resultSet.getString("email"));
                    return user;
                }
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
        return null;
    }

    // 简单的User类，用于存储用户信息
    public static class User {
        private int id;
        private String username;
        private String email;

        // Getter和Setter方法
        public int getId() {
            return id;
        }

        public void setId(int id) {
            this.id = id;
        }

        public String getUsername() {
            return username;
        }

        public void setUsername(String username) {
            this.username = username;
        }

        public String getEmail() {
            return email;
        }

        public void setEmail(String email) {
            this.email = email;
        }
    }

    public static void main(String[] args) {
        UserDao userDao = new UserDao();

        // 插入新用户
        userDao.insertUser("john_doe", "[email protected]");

        // 查询用户
        User user = userDao.getUserById(1); // 假设新插入的用户的ID为1
        System.out.println("User: " + user.getUsername() + ", Email: " + user.getEmail());

        // 更新用户信息
        userDao.updateUser(1, "john_smith", "[email protected]");

        // 再次查询用户以验证更新
        user = userDao.getUserById(1);
        System.out.println("Updated User: " + user.getUsername() + ", Email: " + user.getEmail());

        // 删除用户
        userDao.deleteUser(1);
    }
}

注意：

请确保将DB_URL、USER和PASS替换为你自己的数据库连接信息。
这个例子中的User类是一个简单的POJO（Plain Old Java Object），用于存储用户信息。
在实际应用中，你应该处理更多的异常，并且可能需要使用连接池来管理数据库连接。
在main方法中，我假设了新插入的用户的ID为1，但在实际应用中，你可能需要查询数据库以获取新插入记录的ID。
出于安全考虑，密码等敏感信息不应该硬编码在代码中，而应该使用配置文件或环境变量来管理。

标签：语句,第三篇,String,讲解,preparedStatement,JDBC,SQL,id,PreparedStatement
From： https://blog.csdn.net/2401_88512872/article/details/143873424

PreparedStatement接口防止SQL注入

SQL注入

为什么`PreparedStatement`能防止SQL注入？

如何使用`PreparedStatement`防止SQL注入？

`PreparedStatement接口常用的方法`

PreparedStatement增删改查案例

相关文章

赞助商

阅读排行

JDBC讲解(第三篇)

PreparedStatement接口防止SQL注入

SQL注入

为什么PreparedStatement能防止SQL注入？

如何使用PreparedStatement防止SQL注入？

PreparedStatement接口常用的方法

PreparedStatement增删改查案例

相关文章

赞助商

阅读排行

为什么`PreparedStatement`能防止SQL注入？

如何使用`PreparedStatement`防止SQL注入？

`PreparedStatement接口常用的方法`