JDBC的APi补充

举报
执久呀 发表于 2022/07/25 07:19:48 2022/07/25
【摘要】 ​ 四、ResultSetResultSet(结果集对象)作用：1.封装了DQL查询语句的结果ResultSet  stmt.executeQuery(sql):执行DQL语句，返回ResultSet对象获取查询结果boolean   next():（1）将光标从当前位置向前移动一行（2）判断当前行是否是有效行    返回值：当前行有数据返回true，当前没数据返回false。xxx    ...

​

 四、ResultSet

ResultSet(结果集对象)作用：

1.封装了DQL查询语句的结果

ResultSet  stmt.executeQuery(sql):执行DQL语句，返回ResultSet对象

获取查询结果

boolean   next():（1）将光标从当前位置向前移动一行（2）判断当前行是否是有效行

    返回值：当前行有数据返回true，当前没数据返回false。

xxx     getXxx(参数)：获取数据

    解释：xxx表示数据类型；如int  getInt(参数)；String getString(参数)；

    参数：对于int是列的编号，从1开始，对于String是列的名称。

使用步骤：

1、游标向下移动一行，并判断该行是否有数据：next()

2、获取数据：getXxx(参数)

示例：

while(rs.next()){
    rs.getXxx(参数);
}

实例：

package com.jdbc;

import com.mysql.jdbc.Connection;

import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;

public class JDBCDemo3_ResultSet {
    public static void main(String[] args) throws Exception {
        //1、注册驱动
        Class.forName("com.mysql.jdbc.Driver");
       //2、获取连接
         //url的格式是："jdbc:mysql://mysql的ip:端口号/操作的数据库"
        String url="jdbc:mysql://127.0.0.1:3306/kc_db01";
        //username是你的mysql用户名
        String username="root";
        //password是你的mysql密码
        String password="123456";
        Connection conn= (Connection) DriverManager.getConnection(url, username, password);
        //3、定义sql
        String sql="select *from emp";
        //4、获取执行sql的Statement对象
        Statement stmt=conn.createStatement();
        //5、执行sql语句
        ResultSet rs=stmt.executeQuery(sql);
        //6处理结果
      while(rs.next()){
          //获取数据 getXxx();括号中可以写所在行，也可以写列名
          int id=rs.getInt(1);
          String ename=rs.getString(2);
          int salary=rs.getInt(3);
          //另一种写法：写行的名称
//          int id=rs.getInt("id");
//          String ename=rs.getString("ename");
//          int salary=rs.getInt("salary");
          System.out.println(id);
          System.out.println(ename);
          System.out.println(salary);
          System.out.println("-----------");
      }
        //7、释放资源(先开后释放)
        rs.close();
        stmt.close();
        conn.close();

    }
}

数据库中emp表

​编辑

 运行之后：

​编辑


 ResultSet案例

需求：查询account账户数据，封装为Account对象中，并且存储到ArrayList集合中

​编辑

 创建一个pojo包，用来存放对象的。

​编辑

 创建了一个类，提供getSet方法

package com.pojo;

public class Account {
    private int id;
    private String ename;
    private int salary;

    public int getId() {
        return id;
    }

    public void setId(int id) {
        this.id = id;
    }

    public String getEname() {
        return ename;
    }

    public void setEname(String ename) {
        this.ename = ename;
    }

    public int getSalary() {
        return salary;
    }

    public void setSalary(int salary) {
        this.salary = salary;
    }
    //为了更好的显示，重写toString()方法

    @Override
    public String toString() {
        return "Account{" +
                "id=" + id +
                ", ename='" + ename + '\'' +
                ", salary=" + salary +
                '}'+"\n";
    }
}

jdbc包下创建的类中

package com.jdbc;

import com.mysql.jdbc.Connection;
import com.pojo.Account;

import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;
import java.util.ArrayList;
import java.util.List;

public class JDBCDemo4_ResultSet {
    public static void main(String[] args) throws Exception {
        //1、注册驱动
        Class.forName("com.mysql.jdbc.Driver");
       //2、获取连接
         //url的格式是："jdbc:mysql://mysql的ip:端口号/操作的数据库"
        String url="jdbc:mysql://127.0.0.1:3306/kc_db01";
        //username是你的mysql用户名
        String username="root";
        //password是你的mysql密码
        String password="123456";
        Connection conn= (Connection) DriverManager.getConnection(url, username, password);
        //3、定义sql
        String sql="select *from emp";
        //4、获取执行sql的Statement对象
        Statement stmt=conn.createStatement();
        //5、执行sql语句
        ResultSet rs=stmt.executeQuery(sql);
        //6处理结果
        //创建集合对象
        List<Account> list=new ArrayList<>();
      while(rs.next()){
          //创建Account对象
          Account account=new Account();
          //获取数据 getXxx();括号中可以写所在行，也可以写列名
          int id=rs.getInt(1);
          String ename=rs.getString(2);
          int salary=rs.getInt(3);
          //赋值数据
          account.setId(id);
          account.setEname(ename);
          account.setSalary(salary);
          list.add(account);
      }
        System.out.println(list);
        //7、释放资源(先开后释放)
        rs.close();
        stmt.close();
        conn.close();

    }
}

运行结果：

​编辑

五、PreparedStatement

PreparedStatement作用：

1、预编译SQL语句并执行：预防SQL注入问题

SQL注入

SQL注入是通过操作输入来修改事先定义好的SQL语句，用以达到执行代码对服务器进行攻击的方法。

演示普通登录：

首先数据录kc_db1下的emp表为：

​编辑



package com.jdbc;

import com.mysql.jdbc.Connection;

import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;


public class JDBCDemo5_UserLogin {
    public static void main(String[] args) throws Exception {

       //2、获取连接
         //url的格式是："jdbc:mysql://mysql的ip:端口号/操作的数据库"
        String url="jdbc:mysql://127.0.0.1:3306/kc_db01";
        //username是你的mysql用户名
        String username="root";
        //password是你的mysql密码
        String password="123456";
        Connection conn= (Connection) DriverManager.getConnection(url, username, password);
           String name="zhangsan";
           String pwd="1233";
        //3、定义sql
        String sql="select *from emp where ename='"+name+"'and password='"+pwd+"'" ;
        System.out.println("这条SQL语句是:"+sql);
        //4、获取执行sql的Statement对象
        Statement stat=conn.createStatement();
        //5、执行sql语句
        ResultSet rs = stat.executeQuery(sql);
        //6处理结果,rs有值说明查找成功
      if(rs.next()){
          System.out.println("登录成功");
      }else{
          System.out.println("登录失败");
      }
        //7、释放资源(先开后释放)
        rs.close();
        stat.close();
        conn.close();

    }
}

运行结果：

​编辑

 输入其他(不成功的原因是数据库中没有账号密码为这个的)：

​编辑

 sql注入演示：

对于这条sql语句来说不点在于密码，账号任意

 String name="随便写的名";
 String pwd=" ' or '1'='1";

运行结果：​编辑

这条SQL语句是:select *from emp where ename='随便写的名'and password=' ' or  '1'='1'

 sql注入的本质就是改变原有的SQL语句，加入or之后1=1恒为真，所以这条语句就是true

 PreparedStatement解决SQL注入

①获取PreparedStatement对象

//sql语句中的参数，使用？占位符代替
String sql="select *from user where username=? and password=?";
//通过Connection对象获取，并传入对应的sql语句
PreparedStatement  pstmt=conn.prepareStatement(sql);

②设置参数

PreparedStatement对象：setXxx(参数1，参数2)：表示给参数1(?的位置)赋值为参数2

Xxx：数据类型；任意setInt(参数1，参数2)

参数：

  •    参数1：表示？的位置编号，从1开始
  •    参数2： ？的值

③执行sql

executeUpdate();/excuteQuery();括号内不需要传递sql。

创建类：

package com.jdbc;

import com.mysql.jdbc.Connection;

import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.Statement;
import java.util.Scanner;

public class JDBCDemo5_UserLogin {
    public static void main(String[] args) throws Exception {

       //2、获取连接
         //url的格式是："jdbc:mysql://mysql的ip:端口号/操作的数据库"
        String url="jdbc:mysql://127.0.0.1:3306/kc_db01";
        //username是你的mysql用户名
        String username="root";
        //password是你的mysql密码
        String password="123456";
        Connection conn= (Connection) DriverManager.getConnection(url, username, password);
           String name="随便写的名";
           String pwd=" ' or '1'='1";
        //3、定义sql
        String sql="select *from emp where ename=? and password=?" ;

        //4、获取的PreparedStatement对象
        PreparedStatement pstmt = conn.prepareStatement(sql);
        //设置参数
        pstmt.setString(1, name);
        pstmt.setString(2, pwd);

        //5、执行sql语句
        ResultSet rs =pstmt.executeQuery();
        System.out.println("这条SQL语句是:"+sql);
        //6处理结果,rs有值说明查找成功
      if(rs.next()){
          System.out.println("登录成功");
      }else{
          System.out.println("登录失败");
      }
        //7、释放资源(先开后释放)
        rs.close();
       pstmt.close();
        conn.close();

    }
}

 运行结果：

​编辑

 这样就防止了sql注入，setXxx会对传入的参数会进行转义，不会拼接成字符串而是\' or\ ' 1\' = \' 1\'

 输入正确的：

​编辑

 PrepareStatement原理

PrepareStatement好处：

1、预编译SQL，性能更高

2、防止sql注入。

my.ini配置文件可以看到日志


log-output=FILE 
general-log=1
general_log_file="D:\mysql.log" 
slow-query-log=1
slow_query_log_file="D:\mysql_slow.log" 
long_query_time=2

预编译功能默认关闭

①：PreparedStatement预编译功能开启：userServerPrepStmts=true

 在sql语句?之后书写参数

        String url="jdbc:mysql://127.0.0.1:3306/kc_db01"?userServerPrepStmts=true;

开启就会要prepare预编译： 

​编辑

 关闭之后就没有Prepare阶段

​编辑


​

【版权声明】本文为华为云社区用户原创内容，转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息， 否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱： cloudbbs@huaweicloud.com
API JDBC SQL
  • 点赞
  • 收藏
  • 关注作者

评论（0）

0/1000
抱歉，系统识别当前为高风险访问，暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称，即可参与社区互动！

*长度不超过10个汉字或20个英文字符，设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符，设置后3个月内不可修改。

确认 取消

加入云驻计划，成为创作者

  • 华为云周边好礼
  • 免费体验产品
  • 特殊身份标识
  • 线下官方门票
  • 内部专家零距离
  • 与10000+优质创作者共同成长
立即加入