JDBC预编译PreparedStatement

-----------------------------------------------------------JDBC预编译PreparedStatement----------------------------------------

JDBC预编译

1　什么是SQL注入

在需要用户输入的地方，用户输入的是SQL语句的片段，最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句！例如用户在登录时输入的用户名和密码都是为SQL语句的片段！

2　演示SQL注入

首先我们需要创建一张用户表，用来存储用户的信息。

下面我们写一个login()方法！

publicvoid login(String username, String password) {        Connection con = null;        Statement stmt = null;        ResultSet rs = null;        try {            con = JdbcUtils.getConnection();            stmt = con.createStatement();            String sql = "SELECT * FROM user WHERE " +                   "username='" + username +                   "' and password='" + password + "'";            rs = stmt.executeQuery(sql);            if(rs.next()) {               System.out.println("欢迎" + rs.getString("username"));            } else {               System.out.println("用户名或密码错误！");            }        } catch (Exception e) {            thrownew RuntimeException(e);        } finally {            JdbcUtils.close(con, stmt, rs);        }          }

下面是调用这个方法的代码：

login("a' or 'a'='a", "a' or 'a'='a");

这行当前会使我们登录成功！因为是输入的用户名和密码是SQL语句片段，最终与我们的login()方法中的SQL语句组合在一起！我们来看看组合在一起的SQL语句：

SELECT * FROM tab_user WHERE username='a' or 'a'='a' and password='a' or 'a'='a'

代码示例：

package com.rl.jdbc; import java.sql.Connection; import java.sql.DriverManager; import java.sql.ResultSet; import java.sql.ResultSetMetaData; import java.sql.SQLException; import java.sql.Statement; import java.util.ArrayList; import java.util.List; import oracle.net.aso.s; public class JDBCQuery {        /**         * @param args         */        public static void main(String[] args) {               //用户登录,即使密码错误，我们可以利用数据库的判断条件进行修改达到登录的效果               //说明通过不合法的sql片段可以破坏原有的sql，带来极大的风险               boolean isLogin = login("likunpeng","***' or 'a' = 'a");               if(isLogin){                      System.out.println("登录成功");               }else{                      System.out.println("用户或者密码错误！");               }        }               /**         * 创建用户登录方法         * @param uname         * @param pword         * @return         */        public static boolean login(String uname,String pword){               //定义返回值变量，默认是登录失败               boolean isExist = false;               //设置oracle数据库驱动的类               String driverClass = "oracle.jdbc.OracleDriver";               //定义连接oracle的url               String url = "jdbc:oracle:thin:@127.0.0.1:1521:orcl";               //用户名               String username = "scott";               //密码               String password = "tiger";               //定义connection连接               Connection conn = null;               //定义数据库的sql执行对象               Statement stmt = null;               //定义查询结果的ResultSet对象               ResultSet rs = null;               //定义sql查询语句               String querySql = "select * from users  where username = '" +uname+"' and password = '"+pword+"'";               System.out.println(querySql);               try {                      //注册数据库的驱动程序                      Class.forName(driverClass);                      //获得数据库的连接                      conn = DriverManager.getConnection(url, username,password);                      //创建sql对象                      stmt = conn.createStatement();                      //执行查询sql                      rs = stmt.executeQuery(querySql);                      //如果有数据登录成功                      isExist = rs.next();               } catch (ClassNotFoundException e) {                      e.printStackTrace();               } catch (SQLException e) {                      e.printStackTrace();               } finally {                   try {                     if(stmt != null)                          stmt.close();                     if(conn != null)                             conn.close();                     if(rs != null)                           rs.close();                      } catch (SQLException e) {                             e.printStackTrace();                      }               }               //返回登录结果               return isExist;        } }

3　防止SQL注入

l  过滤用户输入的数据中是否包含非法字符；

l  使用PreparedStatement。

4　PreparedStatement是什么？

PreparedStatement叫预编译声明！

PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。

PreparedStatement的好处：

l  防止SQL攻击；

l  提高代码的可读性，以可维护性；

l  提高效率。

5　PreparedStatement的使用

String sql = “select * from tab_student where s_number=?”; PreparedStatement pstmt = con.prepareStatement(sql); pstmt.setString(1, “S_1001”); ResultSet rs = pstmt.executeQuery(); rs.close(); pstmt.clearParameters(); pstmt.setString(1, “S_1002”); rs = pstmt.executeQuery();

在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。

在得到PreparedStatement对象后，调用它的setXXX()方法为“?”赋值，这样就可以得到把模板变成一条完整的SQL语句，然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。

注意PreparedStatement对象独有的executeQuery()方法是没有参数的，而Statement的executeQuery()是需要参数（SQL语句）的。因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了，所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。

PreparedStatement最大的好处就是在于重复使用同一模板，给予其不同的参数来重复的使用它。这才是真正提高效率的原因。

所以，建议大家在今后的开发中，无论什么情况，都去需要PreparedStatement，而不是使用Statement。

 

预编译代码示例：

package com.rl.jdbc; import java.sql.Connection; import java.sql.DriverManager; import java.sql.PreparedStatement; import java.sql.ResultSet; import java.sql.SQLException; public class JDBCQuery2 {        /**         * @param args         */        public static void main(String[] args) {               //用户登录,即使密码错误，我们可以利用数据库的判断条件进行修改达到登录的效果               //说明通过不合法的sql片段可以破坏原有的sql，带来极大的风险               //我们可以通过PreparedStatement预编译来解决               boolean isLogin = login("likunpeng","123 or 'a' = 'a'");               if(isLogin){                      System.out.println("登录成功");               }else{                      System.out.println("用户或者密码错误！");               }        }               /**         * 创建用户登录方法         * @param uname         * @param pword         * @return         */        public static boolean login(String uname,String pword){               //定义返回值变量，默认是登录失败               boolean isExist = false;               //设置oracle数据库驱动的类               String driverClass = "oracle.jdbc.OracleDriver";               //定义连接oracle的url               String url = "jdbc:oracle:thin:@127.0.0.1:1521:orcl";               //用户名               String username = "scott";               //密码               String password = "tiger";               //定义connection连接               Connection conn = null;               //定义预编译数据库的sql执行对象               PreparedStatement ps = null;               //定义查询结果的ResultSet对象               ResultSet rs = null;               //定义sql查询语句               String querySql = "select * from users  where username = ? and password = ?";               System.out.println(querySql);               try {                      //注册数据库的驱动程序                      Class.forName(driverClass);                      //获得数据库的连接                      conn = DriverManager.getConnection(url, username,password);                      //创建预编译sql对象                      ps = conn.prepareStatement(querySql);                      //给编译好的sql来设置参数值，参数值从左到右，从1开始依次递增索引                      ps.setString(1, uname);                      ps.setString(2, pword);                      //执行查询sql                      rs = ps.executeQuery();                      //如果有数据登录成功                      isExist = rs.next();               } catch (ClassNotFoundException e) {                      e.printStackTrace();               } catch (SQLException e) {                      e.printStackTrace();               } finally {                   try {                     if(ps != null)                          ps.close();                     if(conn != null)                             conn.close();                     if(rs != null)                           rs.close();                      } catch (SQLException e) {                             e.printStackTrace();                      }               }               //返回登录结果               return isExist;        } }