day17

JDBC整體思維導(dǎo)圖

JDBC入門

• 導(dǎo)jar包：驅(qū)動！
• 加載驅(qū)動類：Class.forName("類名");
• 給出url、username、password，其中url背下來！
• 使用DriverManager類來得到Connection對象！

?

?

?

1　什么是JDBC

　　JDBC（Java DataBase Connectivity）就是Java數(shù)據(jù)庫連接，說白了就是用Java語言來操作數(shù)據(jù)庫。原來我們操作數(shù)據(jù)庫是在控制臺使用SQL語句來操作數(shù)據(jù)庫，JDBC是用Java語言向數(shù)據(jù)庫發(fā)送SQL語句。

?

2　JDBC原理

早期SUN公司的天才們想編寫一套可以連接天下所有數(shù)據(jù)庫的API，但是當(dāng)他們剛剛開始時就發(fā)現(xiàn)這是不可完成的任務(wù)，因為各個廠商的數(shù)據(jù)庫服務(wù)器差異太大了。后來SUN開始與數(shù)據(jù)庫廠商們討論，最終得出的結(jié)論是，由SUN提供一套訪問數(shù)據(jù)庫的規(guī)范（就是一組接口），并提供連接數(shù)據(jù)庫的協(xié)議標(biāo)準(zhǔn)，然后各個數(shù)據(jù)庫廠商會遵循SUN的規(guī)范提供一套訪問自己公司的數(shù)據(jù)庫服務(wù)器的API出現(xiàn)。SUN提供的規(guī)范命名為JDBC，而各個廠商提供的，遵循了JDBC規(guī)范的，可以訪問自己數(shù)據(jù)庫的API被稱之為驅(qū)動！

JDBC是接口，而JDBC驅(qū)動才是接口的實現(xiàn)，沒有驅(qū)動無法完成數(shù)據(jù)庫連接！每個數(shù)據(jù)庫廠商都有自己的驅(qū)動，用來連接自己公司的數(shù)據(jù)庫。

當(dāng)然還有第三方公司專門為某一數(shù)據(jù)庫提供驅(qū)動，這樣的驅(qū)動往往不是開源免費的！

?

3　JDBC核心類（接口）介紹

JDBC中的核心類有：DriverManager、Connection、Statement，和ResultSet！

DriverManger（驅(qū)動管理器）的作用有兩個：

• 注冊驅(qū)動：這可以讓JDBC知道要使用的是哪個驅(qū)動；
• 獲取Connection：如果可以獲取到Connection，那么說明已經(jīng)與數(shù)據(jù)庫連接上了。

?

Connection對象表示連接，與數(shù)據(jù)庫的通訊都是通過這個對象展開的：

• Connection最為重要的一個方法就是用來獲取Statement對象；

?

Statement是用來向數(shù)據(jù)庫發(fā)送SQL語句的，這樣數(shù)據(jù)庫就會執(zhí)行發(fā)送過來的SQL語句：

• void executeUpdate(String sql)：執(zhí)行更新操作（insert、update、delete等）；
• ResultSet executeQuery(String sql)：執(zhí)行查詢操作，數(shù)據(jù)庫在執(zhí)行查詢后會把查詢結(jié)果，查詢結(jié)果就是ResultSet；

?

ResultSet對象表示查詢結(jié)果集，只有在執(zhí)行查詢操作后才會有結(jié)果集的產(chǎn)生。結(jié)果集是一個二維的表格，有行有列。操作結(jié)果集要學(xué)習(xí)移動ResultSet內(nèi)部的"行光標(biāo)"，以及獲取當(dāng)前行上的每一列上的數(shù)據(jù)：

• boolean next()：使"行光標(biāo)"移動到下一行，并返回移動后的行是否存在；
• XXX getXXX(int col)：獲取當(dāng)前行指定列上的值，參數(shù)就是列數(shù)，列數(shù)從1開始，而不是0。

?

4　Hello JDBC

?

下面開始編寫第一個JDBC程序

4.1　mysql數(shù)據(jù)庫的驅(qū)動jar包：mysql-connector-java-5.1.13-bin.jar；

4.2　獲取連接

獲取連接需要兩步，一是使用DriverManager來注冊驅(qū)動，二是使用DriverManager來獲取Connection對象。

注冊驅(qū)動

看清楚了，注冊驅(qū)動就只有一句話：Class.forName("com.mysql.jdbc.Driver")，下面的內(nèi)容都是對這句代碼的解釋。今后我們的代碼中，與注冊驅(qū)動相關(guān)的代碼只有這一句。

DriverManager類的registerDriver()方法的參數(shù)是java.sql.Driver，但java.sql.Driver是一個接口，實現(xiàn)類由mysql驅(qū)動來提供，mysql驅(qū)動中的java.sql.Driver接口的實現(xiàn)類為com.mysql.jdbc.Driver！那么注冊驅(qū)動的代碼如下：

DriverManager.registerDriver(new com.mysql.jdbc.Driver());

上面代碼雖然可以注冊驅(qū)動，但是出現(xiàn)硬編碼（代碼依賴mysql驅(qū)動jar包），如果將來想連接Oracle數(shù)據(jù)庫，那么必須要修改代碼的。并且其實這種注冊驅(qū)動的方式是注冊了兩次驅(qū)動！

JDBC中規(guī)定，驅(qū)動類在被加載時，需要自己"主動"把自己注冊到DriverManger中，下面我們來看看com.mysql.jdbc.Driver類的源代碼：

com.mysql.jdbc.Driver.java

public class Driver extends NonRegisteringDriver implements java.sql.Driver { ????static { ????????try { ????????????java.sql.DriverManager.registerDriver(new Driver()); ????????} catch (SQLException E) { ????????????throw new RuntimeException("Can't register driver!"); ????????} ????} …… }

?

com.mysql.jdbc.Driver類中的static塊會創(chuàng)建本類對象，并注冊到DriverManager中。這說明只要去加載com.mysql.jdbc.Driver類，那么就會執(zhí)行這個static塊，從而也就會把com.mysql.jdbc.Driver注冊到DriverManager中，所以可以把注冊驅(qū)動類的代碼修改為加載驅(qū)動類。

Class.forName("com.mysql.jdbc.Driver");

?

獲取連接

獲取連接的也只有一句代碼：DriverManager.getConnection(url,username,password)，其中username和password是登錄數(shù)據(jù)庫的用戶名和密碼，如果我沒說錯的話，你的mysql數(shù)據(jù)庫的用戶名和密碼分別是：root、123。

url查對復(fù)雜一點，它是用來找到要連接數(shù)據(jù)庫"網(wǎng)址"，就好比你要瀏覽器中查找百度時，也需要提供一個url。下面是mysql的url：

jdbc:mysql://localhost:3306/mydb1

JDBC規(guī)定url的格式由三部分組成，每個部分中間使用逗號分隔。

• 第一部分是jdbc，這是固定的；
• 第二部分是數(shù)據(jù)庫名稱，那么連接mysql數(shù)據(jù)庫，第二部分當(dāng)然是mysql了；
• 第三部分是由數(shù)據(jù)庫廠商規(guī)定的，我們需要了解每個數(shù)據(jù)庫廠商的要求，mysql的第三部分分別由數(shù)據(jù)庫服務(wù)器的IP地址（localhost）、端口號（3306），以及DATABASE名稱(mydb1)組成。

　　 ?

下面是獲取連接的語句：

Connection con = DriverManager.getConnection("jdbc:mysql://localhost:3306/mydb1","root","123");

?

還可以在url中提供參數(shù)：

jdbc:mysql://localhost:3306/mydb1?useUnicode=true&characterEncoding=UTF8

useUnicode參數(shù)指定這個連接數(shù)據(jù)庫的過程中，使用的字節(jié)集是Unicode字節(jié)集；

characherEncoding參數(shù)指定穿上連接數(shù)據(jù)庫的過程中，使用的字節(jié)集編碼為UTF-8編碼。請注意，mysql中指定UTF-8編碼是給出的是UTF8，而不是UTF-8。要小心了！

?

4.3　獲取Statement

在得到Connectoin之后，說明已經(jīng)與數(shù)據(jù)庫連接上了，下面是通過Connection獲取Statement對象的代碼：

Statement stmt = con.createStatement();

Statement是用來向數(shù)據(jù)庫發(fā)送要執(zhí)行的SQL語句的！

4.4　發(fā)送SQL增、刪、改語句

String sql = "insert into user value('zhangSan', '123')";

int m = stmt.executeUpdate(sql);

其中int類型的返回值表示執(zhí)行這條SQL語句所影響的行數(shù)，我們知道，對insert來說，最后只能影響一行，而update和delete可能會影響0~n行。

如果SQL語句執(zhí)行失敗，那么executeUpdate()會拋出一個SQLException。

4.5　發(fā)送SQL查詢語句

String sql = "select * from user";

ResultSet rs = stmt.executeQuery(sql);

請注意，執(zhí)行查詢使用的不是executeUpdate()方法，而是executeQuery()方法。executeQuery()方法返回的是ResultSet，ResultSet封裝了查詢結(jié)果，我們稱之為結(jié)果集。

4.6　讀取結(jié)果集中的數(shù)據(jù)

ResultSet就是一張二維的表格，它內(nèi)部有一個"行光標(biāo)"，光標(biāo)默認(rèn)的位置在"第一行上方"，我們可以調(diào)用rs對象的next()方法把"行光標(biāo)"向下移動一行，當(dāng)?shù)谝淮握{(diào)用next()方法時，"行光標(biāo)"就到了第一行記錄的位置，這時就可以使用ResultSet提供的getXXX(int col)方法來獲取指定列的數(shù)據(jù)了：

rs.next();//光標(biāo)移動到第一行

rs.getInt(1);//獲取第一行第一列的數(shù)據(jù)

當(dāng)你使用rs.getInt(1)方法時，你必須可以肯定第1列的數(shù)據(jù)類型就是int類型，如果你不能肯定，那么最好使用rs.getObject(1)。在ResultSet類中提供了一系列的getXXX()方法，比較常用的方法有：

Object getObject(int col)

String getString(int col)

int getInt(int col)

double getDouble(int col)

4.7　關(guān)閉

與IO流一樣，使用后的東西都需要關(guān)閉！關(guān)閉的順序是先得到的后關(guān)閉，后得到的先關(guān)閉。

rs.close();

stmt.close();

con.close();

?

4.8　代碼

?

????public static Connection getConnection() throws Exception { ????????Class.forName("com.mysql.jdbc.Driver"); ????????String url = "jdbc:mysql://localhost:3306/mydb1"; ????????return DriverManager.getConnection(url, "root", "123"); ????}

????@Test ????public void insert() throws Exception { ????????Connection con = getConnection(); ????????Statement stmt = con.createStatement(); ????????String sql = "insert into user values('zhangSan', '123')"; ????????stmt.executeUpdate(sql); ????????System.out.println("插入成功！"); ????}

????@Test ????public void update() throws Exception { ????????Connection con = getConnection(); ????????Statement stmt = con.createStatement(); ????????String sql = "update user set password='456' where username='zhangSan'"; ????????stmt.executeUpdate(sql); ????????System.out.println("修改成功！"); ????}

????@Test ????public void delete() throws Exception { ????????Connection con = getConnection(); ????????Statement stmt = con.createStatement(); ????????String sql = "delete from user where username='zhangSan'"; ????????stmt.executeUpdate(sql); ????????System.out.println("刪除成功！"); ????}

????@Test ????public void query() throws Exception { ????????Connection con = getConnection(); ????????Statement stmt = con.createStatement(); ????????String sql = "select * from user"; ????????ResultSet rs = stmt.executeQuery(sql); ????????while(rs.next()) { ????????????String username = rs.getString(1); ????????????String password = rs.getString(2); ????????????System.out.println(username + ", " + password); ????????} ????}?

?

4.9　規(guī)范化代碼

所謂規(guī)范化代碼就是無論是否出現(xiàn)異常，都要關(guān)閉ResultSet、Statement，以及Connection，如果你還記得IO流的規(guī)范化代碼，那么下面的代碼你就明白什么意思了。

?

????@Test ????public void query() { ????????Connection con = null; ????????Statement stmt = null; ????????ResultSet rs = null; ????????try { ????????????con = getConnection(); ????????????stmt = con.createStatement(); ????????????String sql = "select * from user"; ????????????rs = stmt.executeQuery(sql); ????????????while(rs.next()) { ????????????????String username = rs.getString(1); ????????????????String password = rs.getString(2); ????????????????System.out.println(username + ", " + password); ????????????} ????????} catch(Exception e) { ????????????throw new RuntimeException(e); ????????} finally { ????????????try { ????????????????if(rs != null) rs.close(); ????????????????if(stmt != null) stmt.close(); ????????????????if(con != null) con.close(); ????????????} catch(SQLException e) {} ????????} ????}

?

JDBC對象介紹

?

1　JDBC中的主要類（接口）

在JDBC中常用的類有：

• DriverManager；
• Connection；
• Statement；
• ResultSet。

?

2　DriverManager

其實我們今后只需要會用DriverManager的getConnection()方法即可：

Class.forName("com.mysql.jdbc.Driver");//注冊驅(qū)動

String url = "jdbc:mysql://localhost:3306/mydb1";

String username = "root";

String password = "123";

Connection con = DriverManager.getConnection(url, username, password);

?

注意，上面代碼可能出現(xiàn)的兩種異常：

ClassNotFoundException：這個異常是在第1句上出現(xiàn)的，出現(xiàn)這個異常有兩個可能：

• 你沒有給出mysql的jar包；
• 你把類名稱打錯了，查看類名是不是com.mysql.jdbc.Driver。

?

SQLException：這個異常出現(xiàn)在第5句，出現(xiàn)這個異常就是三個參數(shù)的問題，往往username和password一般不是出錯，所以需要認(rèn)真查看url是否打錯。

?

對于DriverManager.registerDriver()方法了解即可，因為我們今后注冊驅(qū)動只會Class.forName()，而不會使用這個方法。

?

3　Connection

Connection最為重要的方法就是獲取Statement：

• Statement stmt = con.createStatement();

?

后面在學(xué)習(xí)ResultSet方法時，還要學(xué)習(xí)一下下面的方法：

• Statement stmt = con.createStatement(int,int);

4　Statement

Statement最為重要的方法是：

• int executeUpdate(String sql)：執(zhí)行更新操作，即執(zhí)行insert、update、delete語句，其實這個方法也可以執(zhí)行create table、alter table，以及drop table等語句，但我們很少會使用JDBC來執(zhí)行這些語句；
• ResultSet executeQuery(String sql)：執(zhí)行查詢操作，執(zhí)行查詢操作會返回ResultSet，即結(jié)果集。

?

　　boolean execute()

Statement還有一個boolean execute()方法，這個方法可以用來執(zhí)行增、刪、改、查所有SQL語句。該方法返回的是boolean類型，表示SQL語句是否有結(jié)果集！。

如果使用execute()方法執(zhí)行的是更新語句，那么還要調(diào)用int getUpdateCount()來獲取insert、update、delete語句所影響的行數(shù)。

如果使用execute()方法執(zhí)行的是查詢語句，那么還要調(diào)用ResultSet getResultSet()來獲取select語句的查詢結(jié)果。

?

5　ResultSet之滾動結(jié)果集（了解）

下一行：默認(rèn)只能使用它，其他的方法存在，但不能使用！默認(rèn)的結(jié)果集不可滾動！

上一行

下N行

上N行

到N行！

ResultSet表示結(jié)果集，它是一個二維的表格！ResultSet內(nèi)部維護(hù)一個行光標(biāo)（游標(biāo)），ResultSet提供了一系列的方法來移動游標(biāo)：

• void beforeFirst()：把光標(biāo)放到第一行的前面，這也是光標(biāo)默認(rèn)的位置；
• void afterLast()：把光標(biāo)放到最后一行的后面；
• boolean first()：把光標(biāo)放到第一行的位置上，返回值表示調(diào)控光標(biāo)是否成功；
• boolean last()：把光標(biāo)放到最后一行的位置上；
• boolean isBeforeFirst()：當(dāng)前光標(biāo)位置是否在第一行前面；
• boolean isAfterLast()：當(dāng)前光標(biāo)位置是否在最后一行的后面；
• boolean isFirst()：當(dāng)前光標(biāo)位置是否在第一行上；
• boolean isLast()：當(dāng)前光標(biāo)位置是否在最后一行上；
• boolean previous()：把光標(biāo)向上挪一行；
• boolean next()：把光標(biāo)向下挪一行；
• boolean relative(int row)：相對位移，當(dāng)row為正數(shù)時，表示向下移動row行，為負(fù)數(shù)時表示向上移動row行；
• boolean absolute(int row)：絕對位移，把光標(biāo)移動到指定的行上；
• int getRow()：返回當(dāng)前光標(biāo)所有行。

?

?

獲取結(jié)果集元數(shù)據(jù)！

• 得到元數(shù)據(jù)：rs.getMetaData()，返回值為ResultSetMetaData；
• 獲取結(jié)果集列數(shù)：int getColumnCount()
• 獲取指定列的列名：String getColumnName(int colIndex)

?

結(jié)果集特性：當(dāng)使用Connection的createStatement時，已經(jīng)確定了Statement生成的結(jié)果集是什么特性。

• 是否可滾動
• 是否敏感
• 是否可更新

?

con.createSttement()：生成的結(jié)果集：不滾動、不敏感、不可更新！

con.createStatement(int,int)：

第一個參數(shù)：

• ResultSet.TYPE_FORWARD_ONLY：不滾動結(jié)果集；
• ResultSet.TYPE_SCROLL_INSENSITIVE：滾動結(jié)果集，但結(jié)果集數(shù)據(jù)不會再跟隨數(shù)據(jù)庫而變化；
• ResultSet.TYPE_SCROLL_SENSITIVE：滾動結(jié)果集，但結(jié)果集數(shù)據(jù)不會再跟隨數(shù)據(jù)庫而變化；

第二個參數(shù)：

• CONCUR_READ_ONLY：結(jié)果集是只讀的，不能通過修改結(jié)果集而反向影響數(shù)據(jù)庫；
• CONCUR_UPDATABLE：結(jié)果集是可更新的，對結(jié)果集的更新可以反向影響數(shù)據(jù)庫。

?

?

?

上面方法分為兩類，一類用來判斷游標(biāo)位置的，另一類是用來移動游標(biāo)的。如果結(jié)果集是不可滾動的，那么只能使用next()方法來移動游標(biāo)，而beforeFirst()、afterLast()、first()、last()、previous()、relative()方法都不能使用！！！

結(jié)果集是否支持滾動，要從Connection類的createStatement()方法說起。也就是說創(chuàng)建的Statement決定了使用Statement創(chuàng)建的ResultSet是否支持滾動。

Statement createStatement(int resultSetType, int resultSetConcurrency)

resultSetType的可選值：

• ResultSet.TYPE_FORWARD_ONLY：不滾動結(jié)果集；
• ResultSet.TYPE_SCROLL_INSENSITIVE：滾動結(jié)果集，但結(jié)果集數(shù)據(jù)不會再跟隨數(shù)據(jù)庫而變化；
• ResultSet.TYPE_SCROLL_SENSITIVE：滾動結(jié)果集，但結(jié)果集數(shù)據(jù)不會再跟隨數(shù)據(jù)庫而變化；

?

可以看出，如果想使用滾動的結(jié)果集，我們應(yīng)該選擇TYPE_SCROLL_INSENSITIVE！其實很少有數(shù)據(jù)庫驅(qū)動會支持TYPE_SCROLL_SENSITIVE的特性！通常我們也不需要查詢到的結(jié)果集再受到數(shù)據(jù)庫變化的影響。

?

resultSetConcurrency的可選值：

• CONCUR_READ_ONLY：結(jié)果集是只讀的，不能通過修改結(jié)果集而反向影響數(shù)據(jù)庫；
• CONCUR_UPDATABLE：結(jié)果集是可更新的，對結(jié)果集的更新可以反向影響數(shù)據(jù)庫。

?

通常可更新結(jié)果集這一"高級特性"我們也是不需要的！

?

獲取滾動結(jié)果集的代碼如下：

Connection con = …

Statement stmt = con.createStatement(ResultSet.TYPE_SCROLL_INSENSITIVE, CONCUR_READ_ONLY);

String sql = …//查詢語句

ResultSet rs = stmt.executeQuery(sql);//這個結(jié)果集是可滾動的

?

6　ResultSet之獲取列數(shù)據(jù)

可以通過next()方法使ResultSet的游標(biāo)向下移動，當(dāng)游標(biāo)移動到你需要的行時，就需要來獲取該行的數(shù)據(jù)了，ResultSet提供了一系列的獲取列數(shù)據(jù)的方法：

• String getString(int columnIndex)：獲取指定列的String類型數(shù)據(jù)；
• int getInt(int columnIndex)：獲取指定列的int類型數(shù)據(jù)；
• double getDouble(int columnIndex)：獲取指定列的double類型數(shù)據(jù)；
• boolean getBoolean(int columnIndex)：獲取指定列的boolean類型數(shù)據(jù)；
• Object getObject(int columnIndex)：獲取指定列的Object類型的數(shù)據(jù)。

?

上面方法中，參數(shù)columnIndex表示列的索引，列索引從1開始，而不是0，這第一點與數(shù)組不同。如果你清楚當(dāng)前列的數(shù)據(jù)類型，那么可以使用getInt()之類的方法來獲取，如果你不清楚列的類型，那么你應(yīng)該使用getObject()方法來獲取。

ResultSet還提供了一套通過列名稱來獲取列數(shù)據(jù)的方法：

• String getString(String columnName)：獲取名稱為columnName的列的String數(shù)據(jù)；
• int getInt(String columnName)：獲取名稱為columnName的列的int數(shù)據(jù)；
• double getDouble(String columnName)：獲取名稱為columnName的列的double數(shù)據(jù)；
• boolean getBoolean(String columnName)：獲取名稱為columnName的列的boolean數(shù)據(jù)；
• Object getObject(String columnName)：獲取名稱為columnName的列的Object數(shù)據(jù)；

?

?

?

?

PreparedStatement

• 它是Statement接口的子接口；
• 強(qiáng)大之處：
  • 防SQL攻擊；
  • 提高代碼的可讀性、可維護(hù)性；
  • 提高效率！
• 學(xué)習(xí)PreparedStatement的用法：
  • 如何得到PreparedStatement對象：
    • 給出SQL模板！
    • 調(diào)用Connection的PreparedStatement prepareStatement(String sql模板)；
    • 調(diào)用pstmt的setXxx()系列方法sql模板中的?賦值！
    • 調(diào)用pstmt的executeUpdate()或executeQuery()，但它的方法都沒有參數(shù)。
• 預(yù)處理的原理
  • 服務(wù)器的工作：
    • 校驗sql語句的語法！
    • 編譯：一個與函數(shù)相似的東西！
    • 執(zhí)行：調(diào)用函數(shù)
  • PreparedStatement：
    • 前提：連接的數(shù)據(jù)庫必須支持預(yù)處理！幾乎沒有不支持的！
    • 每個pstmt都與一個sql模板綁定在一起，先把sql模板給數(shù)據(jù)庫，數(shù)據(jù)庫先進(jìn)行校驗，再進(jìn)行編譯。執(zhí)行時只是把參數(shù)傳遞過去而已！
    • 若二次執(zhí)行時，就不用再次校驗語法，也不用再次編譯！直接執(zhí)行！

?

?

1　什么是SQL攻擊

在需要用戶輸入的地方，用戶輸入的是SQL語句的片段，最終用戶輸入的SQL片段與我們DAO中寫的SQL語句合成一個完整的SQL語句！例如用戶在登錄時輸入的用戶名和密碼都是為SQL語句的片段！

?

2　演示SQL攻擊

首先我們需要創(chuàng)建一張用戶表，用來存儲用戶的信息。

CREATE TABLE user( ????uid????CHAR(32) PRIMARY KEY, ????username????VARCHAR(30) UNIQUE KEY NOT NULL, ????PASSWORD ????VARCHAR(30) ); ? INSERT INTO user VALUES('U_1001', 'zs', 'zs'); SELECT * FROM user;

現(xiàn)在用戶表中只有一行記錄，就是zs。

下面我們寫一個login()方法！

????public void login(String username, String password) { ????????Connection con = null; ????????Statement stmt = null; ????????ResultSet rs = null; ????????try { ????????????con = JdbcUtils.getConnection(); ????????????stmt = con.createStatement(); ????????????String sql = "SELECT * FROM user WHERE " + ????????????????????"username='" + username + ????????????????????"' and password='" + password + "'"; ????????????rs = stmt.executeQuery(sql); ????????????if(rs.next()) { ????????????????System.out.println("歡迎" + rs.getString("username")); ????????????} else { ????????????????System.out.println("用戶名或密碼錯誤！"); ????????????} ????????} catch (Exception e) { ????????????throw new RuntimeException(e); ????????} finally { ????????????JdbcUtils.close(con, stmt, rs); ????????}???????? ????}

?

下面是調(diào)用這個方法的代碼：

login("a' or 'a'='a", "a' or 'a'='a");

?

這行當(dāng)前會使我們登錄成功！因為是輸入的用戶名和密碼是SQL語句片段，最終與我們的login()方法中的SQL語句組合在一起！我們來看看組合在一起的SQL語句：

SELECT * FROM tab_user WHERE username='a' or 'a'='a' and password='a' or 'a'='a'

?

3　防止SQL攻擊

• 過濾用戶輸入的數(shù)據(jù)中是否包含非法字符；
• 分步交驗！先使用用戶名來查詢用戶，如果查找到了，再比較密碼；
• 使用PreparedStatement。

?

4　PreparedStatement是什么？

PreparedStatement叫預(yù)編譯聲明！

PreparedStatement是Statement的子接口，你可以使用PreparedStatement來替換Statement。

PreparedStatement的好處：

• 防止SQL攻擊；
• 提高代碼的可讀性，以可維護(hù)性；
• 提高效率。

?

5　PreparedStatement的使用

• 使用Connection的prepareStatement(String sql)：即創(chuàng)建它時就讓它與一條SQL模板綁定；
• 調(diào)用PreparedStatement的setXXX()系列方法為問號設(shè)置值
• 調(diào)用executeUpdate()或executeQuery()方法，但要注意，調(diào)用沒有參數(shù)的方法；

?

String sql = "select * from tab_student where s_number=?"; PreparedStatement pstmt = con.prepareStatement(sql); pstmt.setString(1, "S_1001"); ResultSet rs = pstmt.executeQuery(); rs.close(); pstmt.clearParameters(); pstmt.setString(1, "S_1002"); rs = pstmt.executeQuery();?

?

在使用Connection創(chuàng)建PreparedStatement對象時需要給出一個SQL模板，所謂SQL模板就是有"?"的SQL語句，其中"?"就是參數(shù)。

在得到PreparedStatement對象后，調(diào)用它的setXXX()方法為"?"賦值，這樣就可以得到把模板變成一條完整的SQL語句，然后再調(diào)用PreparedStatement對象的executeQuery()方法獲取ResultSet對象。

注意PreparedStatement對象獨有的executeQuery()方法是沒有參數(shù)的，而Statement的executeQuery()是需要參數(shù)（SQL語句）的。因為在創(chuàng)建PreparedStatement對象時已經(jīng)讓它與一條SQL模板綁定在一起了，所以在調(diào)用它的executeQuery()和executeUpdate()方法時就不再需要參數(shù)了。

PreparedStatement最大的好處就是在于重復(fù)使用同一模板，給予其不同的參數(shù)來重復(fù)的使用它。這才是真正提高效率的原因。

?

所以，建議大家在今后的開發(fā)中，無論什么情況，都去需要PreparedStatement，而不是使用Statement。

?

JdbcUtils工具類

?

1　JdbcUtils的作用

你也看到了，連接數(shù)據(jù)庫的四大參數(shù)是：驅(qū)動類、url、用戶名，以及密碼。這些參數(shù)都與特定數(shù)據(jù)庫關(guān)聯(lián)，如果將來想更改數(shù)據(jù)庫，那么就要去修改這四大參數(shù)，那么為了不去修改代碼，我們寫一個JdbcUtils類，讓它從配置文件中讀取配置參數(shù)，然后創(chuàng)建連接對象。

?

2　JdbcUtils代碼

JdbcUtils.java

public class JdbcUtils { ????private static final String dbconfig = "dbconfig.properties"; ????private static Properties prop = new Properties(); ????static { ????????try { ????????????InputStream in = Thread.currentThread().getContextClassLoader().getResourceAsStream(dbconfig); ????????????prop.load(in); ????????????Class.forName(prop.getProperty("driverClassName")); ????????} catch(IOException e) { ????????????throw new RuntimeException(e); ????????} ????} ? ????public static Connection getConnection() { ????????try { ????????????return DriverManager.getConnection(prop.getProperty("url"), ????????????????????prop.getProperty("username"), prop.getProperty("password")); ????????} catch (Exception e) { ????????????throw new RuntimeException(e); ????????} ????} }

?

dbconfig.properties

driverClassName=com.mysql.jdbc.Driver url=jdbc:mysql://localhost:3306/mydb1?useUnicode=true&characterEncoding=UTF8 username=root password=123

?

UserDao

?

修改項目：

把UserDao修改為接口，然后把原來的UserDao修改類名為UserDaoImpl

修改UserService中對UserDao的實例化：private UserDao userDao = DaoFactory.getUserDao()

創(chuàng)建DaoFactory，提供getUserDao()

?

?

?

?

?

1　DAO模式

DAO（Data Access Object）模式就是寫一個類，把訪問數(shù)據(jù)庫的代碼封裝起來。DAO在數(shù)據(jù)庫與業(yè)務(wù)邏輯（Service）之間。

• 實體域，即操作的對象，例如我們操作的表是user表，那么就需要先寫一個User類；
• DAO模式需要先提供一個DAO接口；
• 然后再提供一個DAO接口的實現(xiàn)類；
• 再編寫一個DAO工廠，Service通過工廠來獲取DAO實現(xiàn)。

?

2　代碼

?

User.java

public class User { ????private String uid; ????private String username; ????private String password; … }

?

UserDao.java

public interface UserDao { ????public void add(User user); ????public void mod(User user); ????public void del(String uid); ????public User load(String uid); ????public List<User> findAll(); }

?

UserDaoImpl.java

public class UserDaoImpl implements UserDao { ????public void add(User user) { ????????Connection con = null; ????????PreparedStatement pstmt = null; ????????try { ????????????con = JdbcUtils.getConnection(); ????????????String sql = "insert into user value(?,?,?)"; ????????????pstmt = con.prepareStatement(sql); ????????????pstmt.setString(1, user.getUid()); ????????????pstmt.setString(2, user.getUsername()); ????????????pstmt.setString(3, user.getPassword()); ????????????pstmt.executeUpdate(); ????????} catch(Exception e) { ????????????throw new RuntimeException(e); ????????} finally { ????????????try { ????????????????if(pstmt != null) pstmt.close(); ????????????????if(con != null) con.close(); ????????????} catch(SQLException e) {} ????????} ????} ? ????public void mod(User user) { ????????Connection con = null; ????????PreparedStatement pstmt = null; ????????try { ????????????con = JdbcUtils.getConnection(); ????????????String sql = "update user set username=?, password=? where uid=?"; ????????????pstmt = con.prepareStatement(sql); ????????????pstmt.setString(1, user.getUsername()); ????????????pstmt.setString(2, user.getPassword()); ????????????pstmt.setString(3, user.getUid()); ????????????pstmt.executeUpdate(); ????????} catch(Exception e) { ????????????throw new RuntimeException(e); ????????} finally { ????????????try { ????????????????if(pstmt != null) pstmt.close(); ????????????????if(con != null) con.close(); ????????????} catch(SQLException e) {} ????????}???????? ????} ? ????public void del(String uid) { ????????Connection con = null; ????????PreparedStatement pstmt = null; ????????try { ????????????con = JdbcUtils.getConnection(); ????????????String sql = "delete from user where uid=?"; ????????????pstmt = con.prepareStatement(sql); ????????????pstmt.setString(1, uid); ????????????pstmt.executeUpdate(); ????????} catch(Exception e) { ????????????throw new RuntimeException(e); ????????} finally { ????????????try { ????????????????if(pstmt != null) pstmt.close(); ????????????????if(con != null) con.close(); ????????????} catch(SQLException e) {} ????????}???????????? ????} ? ????public User load(String uid) { ????????Connection con = null; ????????PreparedStatement pstmt = null; ????????ResultSet rs = null; ????????try { ????????????con = JdbcUtils.getConnection(); ????????????String sql = "select * from user where uid=?"; ????????????pstmt = con.prepareStatement(sql); ????????????pstmt.setString(1, uid); ????????????rs = pstmt.executeQuery(); ????????????if(rs.next()) { ????????????????return new User(rs.getString(1), rs.getString(2), rs.getString(3)); ????????????} ????????????return null; ????????} catch(Exception e) { ????????????throw new RuntimeException(e); ????????} finally { ????????????try { ????????????????if(pstmt != null) pstmt.close(); ????????????????if(con != null) con.close(); ????????????} catch(SQLException e) {} ????????}???? ????} ? ????public List<User> findAll() { ????????Connection con = null; ????????PreparedStatement pstmt = null; ????????ResultSet rs = null; ????????try { ????????????con = JdbcUtils.getConnection(); ????????????String sql = "select * from user"; ????????????pstmt = con.prepareStatement(sql); ????????????rs = pstmt.executeQuery(); ????????????List<User> userList = new ArrayList<User>(); ????????????while(rs.next()) { ????????????????userList.add(new User(rs.getString(1), rs.getString(2), rs.getString(3))); ????????????} ????????????return userList; ????????} catch(Exception e) { ????????????throw new RuntimeException(e); ????????} finally { ????????????try { ????????????????if(pstmt != null) pstmt.close(); ????????????????if(con != null) con.close(); ????????????} catch(SQLException e) {} ????????}???? ????} }

?

UserDaoFactory.java

public class UserDaoFactory { ????private static UserDao userDao; ????static { ????????try { ????????????InputStream in = Thread.currentThread().getContextClassLoader() ????????????????????.getResourceAsStream("dao.properties"); ????????????Properties prop = new Properties(); ????????????prop.load(in); ????????????String className = prop.getProperty("cn.itcast.jdbc.UserDao"); ????????????Class clazz = Class.forName(className); ????????????userDao = (UserDao) clazz.newInstance(); ????????} catch (Exception e) { ????????????throw new RuntimeException(e); ????????} ????} ? ????public static UserDao getUserDao() { ????????return userDao; ????} }

?

dao.properties

cn.itcast.jdbc.UserDao=cn.itcast.jdbc.UserDaoImpl

?

時間類型

數(shù)據(jù)庫類型與java中類型的對應(yīng)關(guān)系：

DATE à java.sql.Date

TIME à java.sql.Time

TIMESTAMP à java.sql.Timestamp

?

• 領(lǐng)域?qū)ο?#xff08;domain）中的所有屬性不能出現(xiàn)java.sql包下的東西！即不能使用java.sql.Date；
• ResultSet#getDate()返回的是java.sql.Date()
• PreparedStatement#setDate(int, Date)，其中第二個參數(shù)也是java.sql.Date

?

時間類型的轉(zhuǎn)換：

• java.util.Date à java.sql.Date、Time、Timestamp
  • 把util的Date轉(zhuǎn)換成毫秒值
  • 使用毫秒值創(chuàng)建sql的Date、Time、Timestamp
• java.sql.Date、Time、Timestamp à java.util.Date
  • 這一步不需要處理了：因為java.sql.Date是java.util.Date；

java.util.Date date = new java.util.Date();

long l = date.getTime();

java.sql.Date sqlDate = new java.sql.Date(l);

?

?

?

?

1　Java中的時間類型

java.sql包下給出三個與數(shù)據(jù)庫相關(guān)的日期時間類型，分別是：

• Date：表示日期，只有年月日，沒有時分秒。會丟失時間；
• Time：表示時間，只有時分秒，沒有年月日。會丟失日期；
• Timestamp：表示時間戳，有年月日時分秒，以及毫秒。

?

這三個類都是java.util.Date的子類。

?

　　 ?

?

2　時間類型相互轉(zhuǎn)換

把數(shù)據(jù)庫的三種時間類型賦給java.util.Date，基本不用轉(zhuǎn)換，因為這是把子類對象給父類的引用，不需要轉(zhuǎn)換。

java.sql.Date date = …

java.util.Date d = date;

?

java.sql.Time time = …

java.util.Date d = time;

?

java.sql.Timestamp timestamp = …

java.util.Date d = timestamp;

?

當(dāng)需要把java.util.Date轉(zhuǎn)換成數(shù)據(jù)庫的三種時間類型時，這就不能直接賦值了，這需要使用數(shù)據(jù)庫三種時間類型的構(gòu)造器。java.sql包下的Date、Time、TimeStamp三個類的構(gòu)造器都需要一個long類型的參數(shù)，表示毫秒值。創(chuàng)建這三個類型的對象，只需要有毫秒值即可。我們知道java.util.Date有g(shù)etTime()方法可以獲取毫秒值，那么這個轉(zhuǎn)換也就不是什么問題了。

?

java.utl.Date d = new java.util.Date();

java.sql.Date date = new java.sql.Date(d.getTime());//會丟失時分秒

Time time = new Time(d.getTime());//會丟失年月日

Timestamp timestamp = new Timestamp(d.getTime());

?

3　代碼

我們來創(chuàng)建一個dt表：

CREATE TABLE dt( d DATE, t TIME, ts TIMESTAMP )

?

下面是向dt表中插入數(shù)據(jù)的代碼：

????@Test ????public void fun1() throws SQLException { ????????Connection con = JdbcUtils.getConnection(); ????????String sql = "insert into dt value(?,?,?)"; ????????PreparedStatement pstmt = con.prepareStatement(sql); ???????? ????????java.util.Date d = new java.util.Date(); ????????pstmt.setDate(1, new java.sql.Date(d.getTime())); ????????pstmt.setTime(2, new Time(d.getTime())); ????????pstmt.setTimestamp(3, new Timestamp(d.getTime())); ????????pstmt.executeUpdate(); ????}

?

下面是從dt表中查詢數(shù)據(jù)的代碼：

????@Test ????public void fun2() throws SQLException { ????????Connection con = JdbcUtils.getConnection(); ????????String sql = "select * from dt"; ????????PreparedStatement pstmt = con.prepareStatement(sql); ????????ResultSet rs = pstmt.executeQuery(); ???????? ????????rs.next(); ????????java.util.Date d1 = rs.getDate(1); ????????java.util.Date d2 = rs.getTime(2); ????????java.util.Date d3 = rs.getTimestamp(3); ???????? ????????System.out.println(d1); ????????System.out.println(d2); ????????System.out.println(d3); ????}

?

大數(shù)據(jù)

目標(biāo)：把mp3保存到數(shù)據(jù)庫中！

在my.ini中添加如下配置！

max_allowed_packet=10485760

?

?

?

1　什么是大數(shù)據(jù)

所謂大數(shù)據(jù)，就是大的字節(jié)數(shù)據(jù)，或大的字符數(shù)據(jù)。標(biāo)準(zhǔn)SQL中提供了如下類型來保存大數(shù)據(jù)類型：

類型	長度
tinyblob?	28--1B（256B）
blob?	216-1B（64K）
mediumblob?	224-1B（16M）
longblob?	232-1B（4G）
tinyclob?	28--1B（256B）
clob?	216-1B（64K）
mediumclob?	224-1B（16M）
longclob?	232-1B（4G）

?

但是，在mysql中沒有提供tinyclob、clob、mediumclob、longclob四種類型，而是使用如下四種類型來處理文本大數(shù)據(jù)：

類型	長度
tinytext	28--1B（256B）
text	216-1B（64K）
mediumtext	224-1B（16M）
longtext	232-1B（4G）

?

首先我們需要創(chuàng)建一張表，表中要有一個mediumblob（16M）類型的字段。

CREATE TABLE tab_bin( ????id ????INT ????PRIMARY KEY AUTO_INCREMENT, ????filename????VARCHAR(100), ????data ????MEDIUMBLOB );

?

　　向數(shù)據(jù)庫插入二進(jìn)制數(shù)據(jù)需要使用PreparedStatement為原setBinaryStream(int, InputSteam)方法來完成。

????????????con = JdbcUtils.getConnection(); ????????????String sql = "insert into tab_bin(filename,data) values(?, ?)"; ????????????pstmt = con.prepareStatement(sql); ????????????pstmt.setString(1, "a.jpg"); ????????????InputStream in = new FileInputStream("f:\\a.jpg"); ????????????pstmt.setBinaryStream(2, in); ????????????pstmt.executeUpdate();

?

讀取二進(jìn)制數(shù)據(jù)，需要在查詢后使用ResultSet類的getBinaryStream()方法來獲取輸入流對象。也就是說，PreparedStatement有setXXX()，那么ResultSet就有g(shù)etXXX()。

????????????con = JdbcUtils.getConnection(); ????????????String sql = "select filename,data from tab_bin where id=?"; ????????????pstmt = con.prepareStatement(sql); ????????????pstmt.setInt(1, 1); ????????????rs = pstmt.executeQuery(); ????????????rs.next(); ???????????? ????????????String filename = rs.getString("filename"); ????????????OutputStream out = new FileOutputStream("F:\\" + filename); ???????????? ????????????InputStream in = rs.getBinaryStream("data"); ????????????IOUtils.copy(in, out); ????????????out.close();

?

　　還有一種方法，就是把要存儲的數(shù)據(jù)包裝成Blob類型，然后調(diào)用PreparedStatement的setBlob()方法來設(shè)置數(shù)據(jù)

????????con = JdbcUtils.getConnection(); ????????String sql = "insert into tab_bin(filename,data) values(?, ?)"; ????????pstmt = con.prepareStatement(sql); ????????pstmt.setString(1, "a.jpg"); ????????File file = new File("f:\\a.jpg"); ????????byte[] datas = FileUtils.getBytes(file);//獲取文件中的數(shù)據(jù) ????????Blob blob = new SerialBlob(datas);//創(chuàng)建Blob對象 ????????pstmt.setBlob(2, blob);//設(shè)置Blob類型的參數(shù) ????????pstmt.executeUpdate();

????????con = JdbcUtils.getConnection(); ????????String sql = "select filename,data from tab_bin where id=?"; ????????pstmt = con.prepareStatement(sql); ????????pstmt.setInt(1, 1); ????????rs = pstmt.executeQuery(); ????????rs.next(); ???????? ????????String filename = rs.getString("filename"); ????????File file = new File("F:\\" + filename) ; ????????Blob blob = rs.getBlob("data"); ????????byte[] datas = blob.getBytes(0, (int)file.length()); ????????FileUtils.writeByteArrayToFile(file, datas);

?

批處理

?

1　Statement批處理

批處理就是一批一批的處理，而不是一個一個的處理！

當(dāng)你有10條SQL語句要執(zhí)行時，一次向服務(wù)器發(fā)送一條SQL語句，這么做效率上很差！處理的方案是使用批處理，即一次向服務(wù)器發(fā)送多條SQL語句，然后由服務(wù)器一次性處理。

批處理只針對更新（增、刪、改）語句，批處理沒有查詢什么事兒！

?

可以多次調(diào)用Statement類的addBatch(String sql)方法，把需要執(zhí)行的所有SQL語句添加到一個"批"中，然后調(diào)用Statement類的executeBatch()方法來執(zhí)行當(dāng)前"批"中的語句。

• void addBatch(String sql)：添加一條語句到"批"中；
• int[] executeBatch()：執(zhí)行"批"中所有語句。返回值表示每條語句所影響的行數(shù)據(jù)；
• void clearBatch()：清空"批"中的所有語句。

?

????????????for(int i = 0; i < 10; i++) { ????????????????String number = "S_10" + i; ????????????????String name = "stu" + i; ????????????????int age = 20 + i; ????????????????String gender = i % 2 == 0 ? "male" : "female"; ????????????????String sql = "insert into stu values('" + number + "', '" + name + "', " + age + ", '" + gender + "')"; ????????????????stmt.addBatch(sql); ????????????} ????????????stmt.executeBatch();

?

當(dāng)執(zhí)行了"批"之后，"批"中的SQL語句就會被清空！也就是說，連續(xù)兩次調(diào)用executeBatch()相當(dāng)于調(diào)用一次！因為第二次調(diào)用時，"批"中已經(jīng)沒有SQL語句了。

還可以在執(zhí)行"批"之前，調(diào)用Statement的clearBatch()方法來清空"批"！

?

2　PreparedStatement批處理

PreparedStatement的批處理有所不同，因為每個PreparedStatement對象都綁定一條SQL模板。所以向PreparedStatement中添加的不是SQL語句，而是給"?"賦值。

????????????con = JdbcUtils.getConnection(); ????????????String sql = "insert into stu values(?,?,?,?)"; ????????????pstmt = con.prepareStatement(sql); ????????????for(int i = 0; i < 10; i++) { ????????????????pstmt.setString(1, "S_10" + i); ????????????????pstmt.setString(2, "stu" + i); ????????????????pstmt.setInt(3, 20 + i); ????????????????pstmt.setString(4, i % 2 == 0 ? "male" : "female"); ????????????????pstmt.addBatch(); ????????????} ????????????pstmt.executeBatch();

?

?

?

轉(zhuǎn)載于:https://www.cnblogs.com/Prozhu/p/5541988.html

總結(jié)

以上是生活随笔為你收集整理的day17（JDBC入门jdbcUtils工具介绍）的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。