在JDBC——什么是JDBC一文中我们已经介绍了JDBC的基本原理。
这篇文章我们聊聊如何使用JDBC连接MySQL数据库。
一、基本操作
首先我们需要一个数据库和一张表：
CREATE DATABASE `test`;
USE `test`;
CREATE TABLE `user` (
`id` INT(10) NOT NULL PRIMARY KEY AUTO_INCREMENT,
`username` VARCHAR(20) NOT NULL,
`password` VARCHAR(20) NOT NULL
);
然后我们导入驱动jar包mysql-connector-java-8.0.20.jar 导入jar包或者使用maven依赖：
至于如何导入jar包或者使用maven依赖，这里不做赘述。
基本步骤：
- 注册驱动
- 获取连接对象
- 创建SQL语句
- 创建执行SQL语句的Statement对象
- 执行SQL语句
- 释放资源
1. 增、删、改
public static void main(String[] args) {
Connection conn = null;
Statement stmt = null;
try {
//注册驱动
Class.forName("com.mysql.cj.jdbc.Driver");
//获取连接对象
conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test?serverTimezone=Asia/Shanghai&useSSL=false", "root", "123456");
//创建SQL语句
String sql = "insert into user values (null, '行小观', '1234')";
//创建Statement对象
stmt = conn.createStatement();
//执行SQL语句
int i = stmt.executeUpdate(sql);
System.out.println(i);
} catch (SQLException e) {
e.printStackTrace();
} catch (ClassNotFoundException e) {
e.printStackTrace();
} finally {
if (stmt != null) {//避免空指针异常
try {
stmt.close();//释放资源
} catch (SQLException e) {
e.printStackTrace();
}
}
if (conn != null) {
try {
conn.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
}
}
DML语句的代码相同
2. 查询
public static void main(String[] args) {
Connection conn = null;
Statement stmt = null;
ResultSet rs = null;
try {
//注册驱动
Class.forName("com.mysql.cj.jdbc.Driver");
//获取连接对象
conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test?serverTimezone=Asia/Shanghai&useSSL=false", "root", "123456");
//创建SQL语句
String username = "行小观";
String password = "1234";
String sql = "select * from user where username = '" + username + "' and password = '" + password + "'";//拼接字符串
//创建Statement对象
stmt = conn.createStatement();
//执行SQL语句
rs = stmt.executeQuery(sql);
while (rs.next()) {
int id = rs.getInt("id");
String name = rs.getString("name");
float money = rs.getFloat("money");
System.out.println(id + "--" + name + "--" + money);
}
} catch (SQLException e) {
e.printStackTrace();
} catch (ClassNotFoundException e) {
e.printStackTrace();
} finally {
if (rs != null) {
try {
rs.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
if (stmt != null) {//避免空指针异常
try {
stmt.close();//释放资源
} catch (SQLException e) {
e.printStackTrace();
}
}
if (conn != null) {
try {
conn.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
}
}
二、类的解释
1. DriverManager
(1) 通过DriverManager注册驱动
Class.forName("com.mysql.cj.jdbc.Driver")将Driver类加载进内存。
我们翻看Driver类的源码发现静态代码块：
static {
try {
DriverManager.registerDriver(new Driver());
} catch (SQLException var1) {
throw new RuntimeException("Can't register driver!");
}
}
该静态代码块随着类被加载而执行，一旦执行，便通过DriverManager.registerDriver(new Driver())注册驱动。
(2) 通过DriverManager获取Connection对象
DriverManager.getConnection(url, username, password)
我们只需提供三个参数：数据库的url，用户名，密码。
注意：url中需要加时区。
2. Connection
conn.createStatement()
通过Connection对象创建Statement对象
3. Statement
该对象能够执行静态SQL语句并返回执行结果。
4. ResultSet
表示数据库结果集的数据表，通常由执行查询数据库的语句生成。
可以使用next()方法遍历结果集
三、SQL注入
上面的例子中有一个很严重的问题就是我们写的SQL语句都是静态的，换句话说，就是SQL语句是使用字符串拼接起来的。比如说:
String username = "行小观";
String password = "1234";
String sql = "select * from user where username = '" + username + "' and password = '" + password + "'";
我们将变量代入后的效果是：
select * from user where username = '行小观' and password = '1234'
这样执行是没问题的。
但是现在情况变了：
String username = "行小观";
String password = "1' or '1' = '1";
我们将变量代入后的效果是：
select * from user where username = '行小观' and password = '1' or '1' = '1'
因为or '1'='1'的原因，导致SQL语句的where子句为true，等价于
select * from user
所以会将整张表给查询出来。
以上便是SQL注入。
四、使用PreparedStatement防止SQL注入
使用Statement对象执行静态SQL语句，如果执行了特殊构造的语句，会导致SQL注入，出现安全漏洞。
使用PreparedStatement对象能避免上述问题。
PreparedStatement对象是预编译的SQL语句的对象，继承自Statement。
什么是预编译的SQL语句？
静态SQL语句
String sql = "select * from user where username = '" + username + "' and password = ' " + password + "'";
改为预编译的SQL语句：
String sql = "select * from user where username = ? and password = ? ";
编写SQL语句时，不使用字符串进行拼接，而是使用问号？占位符代替变量。
使用JDBC的步骤有所变化：
- 注册驱动
- 获取连接对象
- 创建SQL语句
- 创建执行SQL语句的PreparedStatement对象
- 给?赋值
- 执行SQL语句
- 释放资源
public static void main(String[] args) {
Connection conn = null;
PreparedStatement pstmt = null;
ResultSet rs = null;
try {
//注册驱动
Class.forName("com.mysql.cj.jdbc.Driver");
//获取连接对象
conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test?serverTimezone=Asia/Shanghai&useSSL=false", "root", "123456");
//创建SQL语句
String username = "行小观";
String password = "1234";
String sql = "select * from user where username = ? and password = ?";
//创建PreparedStatement对象
pstmt = conn.prepareStatement(sql);
//给?赋值
pstmt.setString(1, username);
pstmt.setString(2, password);
//执行SQL语句
rs = pstmt.executeQuery();
while (rs.next()) {
int id = rs.getInt("id");
String unm = rs.getString("username");
String pwd = rs.getString("password");
System.out.println(id + "--"+ unm + "--" + pwd);
}
} catch (SQLException e) {
e.printStackTrace();
} catch (ClassNotFoundException e) {
e.printStackTrace();
} finally {
if (rs != null) {
try {
rs.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
if (pstmt != null) {//避免空指针异常
try {
pstmt.close();//释放资源
} catch (SQLException e) {
e.printStackTrace();
}
}
if (conn != null) {
try {
conn.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
}
}
五、进一步封装
上面的例子，有几点缺点：
- 有大量重复代码。
- 驱动类的全限定类名、数据库的url、username、password写在代码中，如果更改这些值还需要修改代码。
首先我们将Driver的全限定类名、数据库的信息写在配置文件database.properties中，通过读取配置文件获取这些值，当我们需要更改信息时，不用修改代码，直接在配置文件中修改信息即可。
driver=com.mysql.cj.jdbc.Driver
url=jdbc:mysql://localhost:3306/test?serverTimezone=Asia/Shanghai&useSSL=false
username=root
password=123456
然后我们将注册驱动类、获取连接、释放资源这些操作封装到工具类JdbcUtil中。
public class JdbcUtil {
private static String driver;
private static String url;
private static String username;
private static String password;
static {
try {
Properties pro = new Properties();
ClassLoader classLoader = JdbcUtil.class.getClassLoader();
URL resourceURL = classLoader.getResource("database.properties");
String path = resourceURL.getPath();
pro.load(new FileReader(path));
driver = pro.getProperty("driver");
url = pro.getProperty("url");
username = pro.getProperty("username");
password = pro.getProperty("password");
Class.forName(driver);
} catch (IOException e) {
e.printStackTrace();
} catch (ClassNotFoundException e) {
e.printStackTrace();
}
}
public static Connection getConnection() {
try {
return DriverManager.getConnection(url, username, password);
} catch (SQLException e) {
e.printStackTrace();
}
return null;
}
public static void close(Statement stmt, Connection conn) {
if (stmt != null) {//避免空指针异常
try {
stmt.close();//释放资源
} catch (SQLException e) {
e.printStackTrace();
}
}
if (conn != null) {
try {
conn.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
}
public static void close(ResultSet rs, Statement stmt, Connection conn) {
close(stmt, conn);
if (conn != null) {
try {
conn.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
}
}
我们再使用JDBC时，就可以使用工具类简化代码了。
public static void main(String[] args) {
Connection conn = null;
PreparedStatement pstmt = null;
ResultSet rs = null;
try {
//获取连接
conn = JdbcUtil.getConnection();
//创建SQL语句
String username = "行小观";
String password = "1234";
String sql = "select * from user where username = ? and password = ?";
//创建PreparedStatement对象
pstmt = conn.prepareStatement(sql);
//给?赋值
pstmt.setString(1, username);
pstmt.setString(2, password);
//执行SQL语句
rs = pstmt.executeQuery();
while (rs.next()) {
int id = rs.getInt("id");
String unm = rs.getString("username");
String pwd = rs.getString("password");
System.out.println(id + "--"+ unm + "--" + pwd);
}
} catch (SQLException e) {
e.printStackTrace();
} finally {
JdbcUtil.close(rs, pstmt, conn);
}
}
如有错误，还请指正
文章首发于公众号『行人观学』。