文章目录
获取PreparedStatement对象
PreparedStatement是Statement的子接口，可以防止sql注入问题。可以通过Connection接口中的prepareStatement(sql)方法获得PreparedStatement的对象。
方法如下所示：
// 创建一个 PreparedStatement 对象来将参数化的 SQL 语句发送到数据库。
PreparedStatement prepareStatement(String sql);
举例：
select *from user where username='zhangsan' and password = '123456';
使用 ？进行占位
select * from user where username = ? and password = ?;
String sql = ”select * from user where username = ? and password = ?”;
PreparedStatement是如何解决SQL注入问题的
步骤一：**PreparedStatement pstmt = conn.prepareStatement(sql);** -----需要你事先传递sql。如果sql需要参数，使用？进行占位。
步骤二：设置参数（执行sql之前）：pstmt.setXXX(int index, 要放入的值) -----根据不同类型的数据进行方法的选择。第一个参数 index 表示的是 ？出现的位置。从1开始计数，有几个问号，就需要传递几个参数。
方法的参数说明：
第一个参数：int index ;表示的是问号出现的位置。 问号是从1开始计数
第二个参数：给问号的位置传入的值。
步骤三、执行，不需要在传递sql了。
pstmt.executeQuery();—执行select
pstmt.executeUpdate();—执行insert，delete，update
小结：
1.使用预编译接口PreparedStatement 好处：
1.解决sql注入问题
2.提供效率，对sql语句只会预编译一次
2.使用编译接口PreparedStatement步骤：
1)使用连接对象调用方法获取预编译接口对象：PreparedStatement pstmt = conn.prepareStatement(sql);
2）给sql语句占位符赋值：pstmt.setXxx(第几个占位符,实际值)
3）运行sql语句：
pstmt.executeQuery();---执行select
pstmt.executeUpdate();---执行insert，delete，update
PreparedStatement的 应用
import java.sql.*;
import java.util.Scanner;
public class JDBCTest06 {
public static void main(String[] args) throws Exception {
/*
使用PreparedStatement接口解决sql注入问题
1.使用Connection接口对象调用方法，获取PreparedStatement预编译接口
PreparedStatement prepareStatement(String sql)
2.使用预编译接口 PreparedStatement的对象调用PreparedStatement接口中的方法给sql语句中的占位符赋值
setXxx(第几个占位符,实际值)
3.使用预编译接口 PreparedStatement对象调用PreparedStatement接口中的方法执行sql
ResultSet executeQuery() 执行DQL(查询语句)
int executeUpdate() 执行DML(增删改语句)
*/
//1.创建键盘录入对象
Scanner sc = new Scanner(System.in);
//2.提示输入用户名和密码
System.out.println("-------请输入用户名:-------");
//获取用户名
String inputUsername = sc.nextLine();
System.out.println("-------请输入密码:-------");
//获取密码
String inputPassword = sc.nextLine();
//3.获取数据
//4.注册驱动
//5.获取和数据库连接对象
Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/day03_heima139", "root", "1234");
//6.使用Connection接口对象调用方法，获取PreparedStatement预编译接口
// PreparedStatement prepareStatement(String sql)
String sql = "select * from user3 where username=? and password=?";
PreparedStatement pst = conn.prepareStatement(sql);
//2.使用预编译接口 PreparedStatement的对象调用PreparedStatement接口中的方法给sql语句中的占位符赋值
//setXxx(第几个占位符,实际值)
//第一个参数1表示上述sql语句中的第一个占位符(?)位置
//inputUsername :表示给第一个占位符赋的实际值
// zhangsan\'\ \-\-
pst.setString(1,inputUsername);
//第一个参数2表示上述sql语句中的第二个占位符(?)位置
//inputPassword :表示给第二个占位符赋的实际值
pst.setString(2,inputPassword);
/*
3.使用预编译接口 PreparedStatement对象调用PreparedStatement接口中的方法执行sql
ResultSet executeQuery() 执行DQL(查询语句)
*/
ResultSet rs = pst.executeQuery();
//8.处理结果集
//用户名唯一，查询的是一条数据，所以这里使用if即可
if(rs.next()){
//rs.next() :如果当前指针指向的行有数据则返回true
//获取用户名
String username = rs.getString("username");
//输出
System.out.println("恭喜您，亲，登录成功，欢迎光临我的小店，你的用户名是"+username);
}else{
System.out.println("用户名或者密码错误");
}
//9.释放资源
rs.close();
pst.close();
conn.close();
}
}
上述如何解决sql注入的问题呢？
在方法 setXxx()内部解决的。
例如上述 st.setString(1,inputUsername); ，将输入的用户名 "zhangsan' -- " 传入给setString方法体中，在该方法体中使用转义符号 / ，将特殊符号给转义了，转义之后再发送给 mysql 服务器，那么特殊符号例如–就不是注释的意思就是普通字符，mysql 会认为用户名的值是：zhangsan' --
