JDBC访问数据库的过程，sql注入问题预总结

package cn.mybats.jdbc; import java.sql.Connection; import java.sql.DriverManager; import java.sql.PreparedStatement; import java.sql.ResultSet; import java.sql.SQLException; /***  *   * @author yzw  *  */ public class JdbcTest { public static void main(String[] args) { // --1.定义数据连接 Connection connection = null; // --2.定义预处理(预处理就是将编译后的sql保存在数据库端的缓存中，如果之后的sql一样，就不用编译了，提高数据库性能) PreparedStatement preparedStatement = null; // --3.数据结果集 ResultSet resultSet = null; try { // --4.加载数据库驱动,驱动名称在数据库驱动jar包中 Class.forName("com.mysql.jdbc.Driver"); //--5.获取数据库连接，通过驱动管理类DriverManager，url,用户名，密码 connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/study?characterEncoding=utf-8", "root", "521125"); //--6.定义sql String sql = "select * from test001 where t_name = ?"; //--7.sql被编译并且存储在preparedstatement中，更高效的多次访问sql preparedStatement = connection.prepareStatement(sql); //--8.填充参数 preparedStatement.setString(1, "yzw"); // --8.执行sql，并返回查询结果集 resultSet = preparedStatement.executeQuery(); // --9.遍历查询 while (resultSet.next()) { System.out.println(resultSet.getString("t_id") + " " + resultSet.getString("t_name")); } // 1，执行效率：Statement 采取直接编译 SQL 语句的方式，扔给数据库去执行，而 PreparedStatement 则先将 SQL 语句预编译一遍，再填充参数，这样效率会高一些。JDK 文档说：SQL 语句被预编译并且存储在 PreparedStatement 对象中，其后可以使用该对象高效地多次执行该语句。  // 2，代码可读性：Statement 中 SQL 语句中需要 Java 中的变量，加就得进行字符串的运算，还需要考虑一些引号、单引号的问题，参数变量越多，代码就越难看，而且会被单引号、双引号搞疯掉；而 PreparedStatement，则不需要这样，参数可以采用“?”占位符代替，接下来再进行参数的填充，这样利于代码的可读性，并且符合面向对象的思想。  // 3，安全性：Statement 由于可能需要采取字符串与变量的拼接，很容易进行 SQL 注入攻击，而 PreparedStatement 由于是预  // 编译，再填充参数的，不存在 SQL 注入问题。  } catch (Exception e) { e.printStackTrace(); } finally { if (resultSet != null) { try { resultSet.close(); } catch (SQLException e) { e.printStackTrace(); } } if (preparedStatement != null) { try { preparedStatement.close(); } catch (SQLException e) { e.printStackTrace(); } } if (connection != null) { try { connection.close(); } catch (SQLException e) { e.printStackTrace(); } } } }

}

Statement和PreparedStatement的区别; 什么是SQL注入，怎么防止SQL注入？

问题一：Statement和PreparedStatement的区别

　　先来说说，什么是java中的Statement：Statement是java执行数据库操作的一个重要方法，用于在已经建立数据库连接的基础上，向数据库发送要执行的SQL语句。具体步骤：

　　1.首先导入java.sql.*；这个包。

　　2.然后加载驱动，创建连接，得到Connection接口的的实现对象，比如对象名叫做conn。

　　3.然后再用conn对象去创建Statement的实例，方法是：Statement stmt = conn.creatStatement("SQL语句字符串");

　　Statement 对象用于将 SQL 语句发送到数据库中。实际上有三种 Statement 对象，它们都作为在给定连接上执行 SQL语句的包容器：Statement、PreparedStatement（它从 Statement 继承而来）和CallableStatement（它从 PreparedStatement 继承而来）。它们都专用于发送特定类型的 SQL 语句：Statement 对象用于执行不带参数的简单 SQL 语句；PreparedStatement 对象用于执行带或不带参数的预编译 SQL 语句；CallableStatement 对象用于执行对数据库已存储过程的调用。

　　综上所述，总结如下：Statement每次执行sql语句，数据库都要执行sql语句的编译，最好用于仅执行一次查询并返回结果的情形，效率高于PreparedStatement.但存在sql注入风险。PreparedStatement是预编译执行的。在执行可变参数的一条SQL时，PreparedStatement要比Statement的效率高，因为DBMS预编译一条SQL当然会比多次编译一条SQL的效率高。安全性更好，有效防止SQL注入的问题。对于多次重复执行的语句，使用Prepared

Statement效率会更高一点。执行SQL语句是可以带参数的，并支持批量执行SQL。由于采用了Cache机制，则预编译的语句，就会放在Cache中，下次执行相同的SQL语句时，则可以直接从Cache中取出来。

PreparedStatement pstmt = con.prepareStatement("UPDATE EMPLOYEES SET name= ? WHERE ID = ?"); pstmt.setString(1, "李四"); pstmt.setInt(2, 1); pstmt. executeUpdate();

 

那么CallableStatement扩展了PreparedStatement的接口，用来调用存储过程，它提供了对于输入和输出参数的支持，CallableStatement 接口还有对 PreparedStatement 接口提供的输入参数的sql查询的支持。

PreparedStatement: 数据库会对sql语句进行预编译，下次执行相同的sql语句时，数据库端不会再进行预编译了，而直接用数据库的缓冲区，提高数据访问的效率（但尽量采用使用？号的方式传递参数），如果sql语句只执行一次，以后不再复用。 从安全性上来看，PreparedStatement是通过?来传递参数的，避免了拼sql而出现sql注入的问题，所以安全性较好。 在开发中，推荐使用 PreparedStatement