[大数据]JAVA JDBC使用PreparedStatement实现CRUD操作

使用PreparedStatement实现CRUD操作

1. 操作和访问数据库

• 数据库连接被用于向数据库服务器发送命令和 SQL 语句，并接受数据库服务器返回的结果。其实一个数据库连接就是一个Socket连接。

• 在 java.sql 包中有 3 个接口分别定义了对数据库的调用的不同方式：

  • Statement：用于执行静态 SQL 语句并返回它所生成结果的对象。
  • PrepatedStatement：SQL 语句被预编译并存储在此对象中，可以使用此对象多次高效地执行该语句。
  • CallableStatement：用于执行 SQL 存储过程

2 使用Statement操作数据表的弊端

• 通过调用 Connection 对象的 createStatement() 方法创建该对象。该对象用于执行静态的 SQL 语句，并且返回执行结果。

• Statement 接口中定义了下列方法用于执行 SQL 语句：

  int excuteUpdate(String sql)：执行更新操作INSERT、UPDATE、DELETE
  ResultSet executeQuery(String sql)：执行查询操作SELECT
  

• 但是使用Statement操作数据表存在弊端：

  • 问题一：存在拼串操作，繁琐
  • 问题二：存在SQL注入问题

• SQL 注入是利用某些系统没有对用户输入的数据进行充分的检查，而在用户输入数据中注入非法的 SQL 语句段或命令(如：SELECT user, password FROM user_table WHERE user=‘a’ OR 1 = ’ AND passwords = ’ OR ‘1’ = ‘1’) ，从而利用系统的 SQL 引擎完成恶意行为的做法。

• 对于 Java 而言，要防范 SQL 注入，只要用 PreparedStatement(从Statement扩展而来) 取代 Statement 就可以了。

• 代码演示：

  public class StatementTest {
  
  	// 使用Statement的弊端：需要拼写sql语句，并且存在SQL注入的问题
  	@Test
  	public void testLogin() {
  		Scanner scan = new Scanner(System.in);
  
  		System.out.print("用户名：");
  		String userName = scan.nextLine();
  		System.out.print("密   码：");
  		String password = scan.nextLine();
  
  		// SELECT user,password FROM user_table WHERE USER = '1' or ' AND PASSWORD = '='1' or '1' = '1';
  		String sql = "SELECT user,password FROM user_table WHERE USER = '" + userName + "' AND PASSWORD = '" + password
  				+ "'";
  		User user = get(sql, User.class);
  		if (user != null) {
  			System.out.println("登陆成功!");
  		} else {
  			System.out.println("用户名或密码错误！");
  		}
  	}
  
  	// 使用Statement实现对数据表的查询操作
  	public <T> T get(String sql, Class<T> clazz) {
  		T t = null;
  
  		Connection conn = null;
  		Statement st = null;
  		ResultSet rs = null;
  		try {
  			// 1.加载配置文件
  			InputStream is = StatementTest.class.getClassLoader().getResourceAsStream("jdbc.properties");
  			Properties pros = new Properties();
  			pros.load(is);
  
  			// 2.读取配置信息
  			String user = pros.getProperty("user");
  			String password = pros.getProperty("password");
  			String url = pros.getProperty("url");
  			String driverClass = pros.getProperty("driverClass");
  
  			// 3.加载驱动
  			Class.forName(driverClass);
  
  			// 4.获取连接
  			conn = DriverManager.getConnection(url, user, password);
  
  			st = conn.createStatement();
  
  			rs = st.executeQuery(sql);
  
  			// 获取结果集的元数据
  			ResultSetMetaData rsmd = rs.getMetaData();
  
  			// 获取结果集的列数
  			int columnCount = rsmd.getColumnCount();
  
  			if (rs.next()) {
  
  				t = clazz.newInstance();
  
  				for (int i = 0; i < columnCount; i++) {
  					// //1. 获取列的名称
  					// String columnName = rsmd.getColumnName(i+1);
  
  					// 1. 获取列的别名
  					String columnName = rsmd.getColumnLabel(i + 1);
  
  					// 2. 根据列名获取对应数据表中的数据
  					Object columnVal = rs.getObject(columnName);
  
  					// 3. 将数据表中得到的数据，封装进对象
  					Field field = clazz.getDeclaredField(columnName);
  					field.setAccessible(true);
  					field.set(t, columnVal);
  				}
  				return t;
  			}
  		} catch (Exception e) {
  			e.printStackTrace();
  		} finally {
  			// 关闭资源
  			if (rs != null) {
  				try {
  					rs.close();
  				} catch (SQLException e) {
  					e.printStackTrace();
  				}
  			}
  			if (st != null) {
  				try {
  					st.close();
  				} catch (SQLException e) {
  					e.printStackTrace();
  				}
  			}
  
  			if (conn != null) {
  				try {
  					conn.close();
  				} catch (SQLException e) {
  					e.printStackTrace();
  				}
  			}
  		}
  
  		return null;
  	}
  }
  

3.PreparedStatement的使用

3.1 PreparedStatement 的介绍

• 可以通过调用 Connection 对象的 preparedStatement() 方法获取 PreparedStatementn 对象
• PreparedStatement 接口是 Statement 的子接口，它表示一条预编译过的 SQL语句
• PreparedStatement 对象所代表的 SQL 语句中的参数用问号(?)来表示，调用PreparedStatement 对象的 setXxx() 方法来设置这些参数. setXxx() 方法有两个参数，第一个参数是要设置的 SQL 语句中的参数的索引(从 1 开 始)，第二个是设置的 SQL 语句中的参数的值

3.2 Java与SQL对应数据类型转换表

3.3 PreparedStatement vs Statement

• PreparedStatement 没有存在 sql 注入问题，而 Statement 存在 sql 注入问题
• Statement是通过拼接的方式对 sql 语句进行操作，可读性和可维护性差。PreparedStatement是预编译语句,PreparedStatement 的代码可读性和可维护性好
• PreparedStatement 可以对BLOB类型的属性进行操作，而 Statement不行
• PreparedStatement 能最大可能提高性能
  • DBServer 会对预编译语句提供性能优化。因为预编译语句有可能会被重复调用，所以语句在被DBServer的编译器编译后的执行代码被缓存下来，那么下次调用时只要是相同的预编译语句就不需要编译，只要将参数直接传入编译过的语句执行代码中就会得到执行
  • 在Statement 语句中，即使是相同的操作但因为数据内容不一样，所以整个语句本省不能匹配，没有缓存语句的意义，事实是没有数据库会对普通语句编译后的执行代码缓存，这样每执行一次都要传入的语句编译一次