做赌博网站镇江网站制作公司
（本文主要讲解的是：1如何防止数据库的注入，2，如何实现DBUtils，3，第三方工具类QueryRunner的使用）
1.防止数据库的注入
java作为企业级开发语言，你总能感受到它与数据库之间的紧密联系。
前面已经写过一遍关于statement 连接数据库的文章：JDBC连接数据库（statement）
当然了，statement只是其中一种初级的连接方式，在以前是会有被攻击的可能的
例如我前面讲到的用户登录，假如用户名随便输入一个，只要密码是：1'or'1=1
对于这样的执行sql 的过程显然能是被轻易注入了：
System.out.println("请输入用户名：");
String uString = scanner.next();
System.out.println("请输入用户密码：");
String pString = scanner.next();
// 4.执行sql语句
String sqlString = "SELECT * FROM users WHERE username='" + uString + "' AND PASSWORD='" + pString + "'";
ResultSet rSet = statement.executeQuery(sqlString);这都是因为利用了sql语言的特点，这里相当于让数据库执行了：SELECT * FROM users WHERE username=uString AND PASSWORD = 1 OR 1=1
不过我也是试过了许多网站，现在一般都不会再使用statement 来进行校验了
下面介绍另一种更为安全 的校验方式：PreparedStatement
使用方法和statement 其实都差不多的，就是在sql语言里面的用户名和密码这些变量都用一个占位 符 ？ 来表示，然后再在下面设定
// 执行SQL语句,数据表,查询用户名和密码,如果存在,登录成功,不存在登录失败String sql = "SELECT * FROM users WHERE username=? AND PASSWORD=?";/* "SELECT*FROM users WHERE username=? AND PASSWORD=?" */// 调用Connection接口的方法prepareStatement,获取PrepareStatement接口的实现类// 方法中参数,SQL语句中的参数全部采用问号占位符PreparedStatement pStatement = connection.prepareStatement(sql);System.out.println(pStatement);// 调用pStatement对象set方法,设置问号占位符上的参数pStatement.setObject(1, uString);// 第一个问号pStatement.setObject(2, pString);// 第二个问号ResultSet rSet = pStatement.executeQuery();while (rSet.next()) {System.out.println(rSet.getString("username") + "..." + rSet.getString("password"));}
2，实现JDBC的工具类
如果每次调用sql 语句都要重新连接，那未免太麻烦了，这样，我们就想到使用一个类用来专门申请连接和关闭连接
但是又有一个问题，要是多次申请连接，这个新写的类就每次都会重新获取连接，其实并没有这个必要
我们可以使用static ，也就是静态块的特点，只要这个类一执行，就会执行一次，并且再调用的时候也不会再执行。避免了资源的浪费。
下面代码演示：
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;/*** 实现JDBC的工具类 定义方法,直接返回数据库的连接对象* * 写关闭方法*/
public class JDBCUtils {//构造方法私有private JDBCUtils(){}private static Connection connection;//进入这个类，先运行静态代码块static{try {Class.forName("com.mysql.jdbc.Driver");String url = "jdbc:mysql://localhost:3306/mydatabase";String username="root";String password="951218";connection = DriverManager.getConnection(url,username,password);} catch (Exception e) {//如果连接失败了就没必要继续下面的操作了throw new RuntimeException(e+"数据库连接失败");}}/** 定义静态方法,返回数据库的连接对象*/public static Connection getConnection(){return connection;}//两个关闭方法重载public static void close (Connection connection,Statement statement){if (statement != null) {try {statement.close();} catch (SQLException e) {}}if(connection != null){try {connection.close();} catch (SQLException e) {}}}public static void close (Connection connection,Statement statement,ResultSet rSet ){if(statement != null){try {statement.close();} catch (SQLException e) {}}if(connection != null){try {connection.close();} catch (SQLException e) {}}if(rSet != null){try {rSet.close();} catch (SQLException e) {}}}}
3，使用QueryRunner类
我们除了可以使用自己写的dbutils之外，也可以使用第三方给我们提供好的工具类，这样就使得连接数据库更为简便了
这个工具类就是QueryRunner，开发的时候当然使用最为简单的方式了
这个工具类我会放到我的下载频道上面：java工具类 进行下载，或者到网上找
需要的可以去下载，当然，里面还有别的常用的工具类
使用方式：
（1）创建QueryRunner类对象
（2）写sql语句
（3）写占位符的实参
（4）调用QueryRunner类的执行方法update
import java.sql.Connection;
import java.sql.SQLException;import org.apache.commons.dbutils.DbUtils;
import org.apache.commons.dbutils.QueryRunner;import baseSyntax.connectMySQL.myJDBC.JDBCUtils;/** 使用QueryRunner类,实现对数据表的* insert delete update* 调用QueryRunner类的方法 update (Connection con,String sql,Object...param)* Object...param 可变参数,Object类型,SQL语句会出现?占位符* 数据库连接对象,自定义的工具类传递*/
public class QueryRunner_1 {private static Connection connection = JDBCUtils.getConnection();public static void main(String[] args)throws SQLException{insert();}//使用QueryRunner类的方法update向数据表中添加数据public static void insert()throws SQLException{//创建QueryRunner类对象QueryRunner qRunner = new QueryRunner();String sqlString = "INSERT INTO sort (sname,sprice,sdesc)VALUES(?,?,?)";//将三个?占位符的实际参数,写在数组中Object []params = {"体育用品","500","锻炼身体"};//调用QueryRunner类的方法update执行SQL语句System.out.println(qRunner.update(connection,sqlString,params));//update()返回一个int 值的成功执行代码行数DbUtils.closeQuietly(connection);}
}
下面提供一个 QueryRunner数据查询操作的示例，可以作为参考学习：
（代码比较长，也可以copy到你的电脑上面去运行，方便以后使用）
import java.sql.Connection;
import java.sql.SQLException;
import java.util.List;
import java.util.Map;import org.apache.commons.dbutils.QueryRunner;
import org.apache.commons.dbutils.handlers.ArrayHandler;
import org.apache.commons.dbutils.handlers.ArrayListHandler;
import org.apache.commons.dbutils.handlers.BeanHandler;
import org.apache.commons.dbutils.handlers.BeanListHandler;
import org.apache.commons.dbutils.handlers.ColumnListHandler;
import org.apache.commons.dbutils.handlers.MapHandler;
import org.apache.commons.dbutils.handlers.MapListHandler;
import org.apache.commons.dbutils.handlers.ScalarHandler;import baseSyntax.connectMySQL.myDBUtils.Sort;
import baseSyntax.connectMySQL.myJDBC.JDBCUtils;/** QueryRunner数据查询操作:* 调用QueryRunner类方法query(Connection con,String sql,ResultSetHandler r, Object..params)* ResultSetHandler r 结果集的处理方式,传递ResultSetHandler接口实现类* Object..params SQL语句中的?占位符* * 注意: query方法返回值,返回的是T 泛型, 具体返回值类型,跟随结果集处理方式变化*/
public class QueryRunner_2 {static Connection connection = JDBCUtils.getConnection();public static void main(String[] args) throws SQLException {
// arrayHandler();
// arrayListHandler();
// beanHandler();
// beanListHandler();
// columnListHandler();
// scanlarHandler();
// mapHandler();mapListHandler();}/** 结果集第八种处理方法,MapListHandler* 将结果集每一行存储到Map集合,键:列名,值:数据* Map集合过多,存储到List集合*/public static void mapListHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";//调用方法query,传递结果集实现类MapListHandler//返回值List集合, 存储的是Map集合List<Map<String, Object>>list = qRunner.query(connection, sqlString, new MapListHandler());for(Map<String , Object > map:list){for(String key:map.keySet()){System.out.print(key+": "+map.get(key)+" ");}System.out.println();}}/** 结果集第七种处理方法,MapHandler* 将结果集第一行数据,封装到Map集合中* Map<键,值> 键:列名 值:这列的数据*/public static void mapHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";//调用方法query,传递结果集实现类MapHandler//返回值: Map集合,Map接口实现类, 泛型Map<String , Object> map = qRunner.query(connection, sqlString, new MapHandler());for(String key : map.keySet()){System.out.println(key +": "+ map.get(key));}}/** 结果集第六种处理方法,ScalarHandler* 对于查询后,只有1个结果* 查询数据表共有几个数据*/public static void scanlarHandler()throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT COUNT(*) FROM sort";//调用方法query,传递结果集处理实现类ScalarHandlerlong count = qRunner.query(connection, sqlString, new ScalarHandler<Long>());System.out.println( count);}/** 结果集第五种处理方法,ColumnListHandler* 结果集,指定列的数据,存储到List集合* List<Object> 每个列数据类型不同*/public static void columnListHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String slqString = "SELECT* FROM sort";//调用方法 query,传递结果集实现类ColumnListHandler//实现类构造方法中,使用字符串的列名List<Object>list = qRunner.query(connection, slqString, new ColumnListHandler<Object>("sname"));for(Object object : list){System.out.println(object);}}/** 结果集第四种处理方法, BeanListHandler* 结果集每一行数据,封装JavaBean对象* 多个JavaBean对象,存储到List集合*/public static void beanListHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";//调用方法query,传递结果集处理实现类BeanListHandlerList<Sort>list = qRunner.query(connection, sqlString, new BeanListHandler<Sort>(Sort.class));for(Sort sort :list){System.out.println(sort);}}/** 结果集第三种处理方法,BeanHandler* 将结果集的第一行数据,封装成JavaBean对象* 注意: 被封装成数据到JavaBean对象, Sort类必须有空参数构造*/public static void beanHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";//调用方法,传递结果集实现类BeanHandler//BeanHandler(Class<T> type) Sort sort = qRunner.query(connection, sqlString, new BeanHandler<Sort>(Sort.class));System.out.println(sort);}/** 结果集第二种处理方法,ArrayListHandler* 将结果集的每一行,封装到对象数组中, 出现很多对象数组 对象数组存储到List集合*/public static void arrayListHandler()throws SQLException {QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";// 调用query方法,结果集处理的参数上,传递实现类ArrayListHandler// 方法返回值 每行是一个对象数组,存储到ListList<Object[]> result = qRunner.query(connection, sqlString, new ArrayListHandler());//遍历集合for(Object[] objects: result){for(Object object: objects){System.out.print(object+"...");}System.out.println();}}/** 结果集第一种处理方法, ArrayHandler * 将结果集的第一行存储到对象数组中 Object[]*/public static void arrayHandler() throws SQLException {QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";Object[] objects = qRunner.query(connection, sqlString, new ArrayHandler());for (Object object : objects) {System.out.println(object);}}
}