Demo_JDBC_实现一个用户登陆的功能并改进sql的注入问题

图解如何使用JDBC实现一个用户登陆的功能

1、新建一个Java Project项目

2、新建一个User类对应MySQL中的users表

package com.soar.entity;import java.util.Date;public class User {    private int id;    private String name;    private String password;    private String email;    private Date birthday;    public int getId() {        return id;    }    public void setId(int id) {        this.id = id;    }    public String getName() {        return name;    }    public void setName(String name) {        this.name = name;    }    public String getPassword() {        return password;    }    public void setPassword(String password) {        this.password = password;    }    public String getEmail() {        return email;    }    public void setEmail(String email) {        this.email = email;    }    public Date getBirthday() {        return birthday;    }    public void setBirthday(Date birthday) {        this.birthday = birthday;    }    @Override    public String toString() {        return "User [id=" + id + ", name=" + name + ", password=" + password + ", email=" + email + ", birthday="                + birthday + "]";    }}

3、新建一个DBUtils类

package com.soar.util;import java.sql.Connection;import java.sql.DriverManager;import java.sql.ResultSet;import java.sql.SQLException;import java.sql.Statement;import java.util.ResourceBundle;public class DBUtils {    private static String driverClass;    private static String url;    private static String user;    private static String password;    static{        ResourceBundle rb = ResourceBundle.getBundle("dbinfo");        //给上面四个变量赋值        driverClass = rb.getString("driverClass");        url = rb.getString("url");        user = rb.getString("user");        password = rb.getString("password");        try {            Class.forName(driverClass);        } catch (Exception e) {            e.printStackTrace();        }    }    //得到连接    public static Connection getConnection() throws Exception{        return DriverManager.getConnection(url, user, password);    }    //关闭资源    public static void closeAll(ResultSet rs,Statement stmt,Connection conn){        if(rs!=null){            try {                rs.close();            } catch (SQLException e) {                e.printStackTrace();            }            rs = null;        }        if(stmt!=null){            try {                stmt.close();            } catch (SQLException e) {                e.printStackTrace();            }            stmt = null;        }        if(conn!=null){            try {                conn.close();            } catch (SQLException e) {                e.printStackTrace();            }            conn = null;        }    }}

4、创建一个properties的配置文件和DBUtils类进行关联

注意：不用加分号

5、创建一个DoLogin类

package com.soar.service;import java.sql.Connection;import java.sql.ResultSet;import java.sql.Statement;import com.soar.entity.User;import com.soar.util.DBUtils;public class DoLogin {    /**     * 根据用户名和密码查询用户对象信息     * @param name     * @param pwd     * @return u     */    public User findUser(String name, String pwd){        Connection conn = null;        Statement stmt = null;        ResultSet rs = null;        User u = null;        try {            conn = DBUtils.getConnection(); //得到连接对象            stmt = conn.createStatement();  //得到执行sql语句的对象            rs = stmt.executeQuery("SELECT * FROM users WHERE NAME='"+name+"' AND PASSWORD='"+pwd+"'"); //执行sql语句            if(rs.next()){                u = new User();                u.setId(rs.getInt(1));                u.setName(rs.getString(2));                u.setPassword(rs.getString(3));                u.setEmail(rs.getString(4));                u.setBirthday(rs.getDate(5));            }        } catch (Exception e) {            e.printStackTrace();        }finally{            DBUtils.closeAll(rs, stmt, conn);        }        return u;    }}

注意事项：在调用executeQuery()方法时，括号中的sql语句应该在SQLyog中写完后复制到MyEclipse中，因为如果在ME中写sql语句即使写错了，编译器也不会报错。

6、创建一个Login类

package com.soar.client;import java.util.Scanner;import com.soar.entity.User;import com.soar.service.DoLogin;public class Login {    public static void main(String[] args) {        Scanner input = new Scanner(System.in);        System.out.println("请输入用户名：");        String name = input.nextLine();        System.out.println("请输入密码：");        String pwd = input.nextLine();        DoLogin dl = new DoLogin();        User user = dl.findUser(name, pwd); //调用查询用户的方法        if(user!=null){            System.out.println("欢迎你："+user.getName());        }else{            System.out.println("用户名和密码错误！");        }    }}

7、运行Login类

MySQL中的数据表

Console中输入正确的信息

Console中输入错误的信息

8、在 DoLogin类中程序代码不完善，存在sql注入问题
当任意输入一个用户名后，在输入密码时填写如下语句会把
所有的数据库信息都调出来

请输入用户名：sdaf请输入密码：fdsa ' or '1'='1 

解决方法：使用preparedStatement来代替Statement

preparedStatement：预编译对象， 是Statement对象的子类。
特点：
性能要高
会把sql语句先编译
sql语句中的参数会发生变化，过滤掉用户输入的关键字。

改进后的DoLogin类代码：

package com.soar.service;import java.sql.Connection;import java.sql.ResultSet;import com.mysql.jdbc.PreparedStatement;import com.soar.entity.User;import com.soar.util.DBUtils;public class DoLogin {    /**     * 根据用户名和密码查询用户对象信息     * @param name     * @param pwd     * @return u     */    public User findUser(String name, String pwd){        Connection conn = null;        PreparedStatement stmt = null;        ResultSet rs = null;        User u = null;        try {            conn = DBUtils.getConnection(); //得到连接对象            String sql = "SELECT * FROM users WHERE NAME=? AND PASSWORD=?";            stmt =  (PreparedStatement) conn.prepareStatement(sql); //得到执行sql语句的对象            //给？赋值            stmt.setString(1, name);            stmt.setString(2, pwd);            rs = stmt.executeQuery();   //执行sql语句            if(rs.next()){                u = new User();                u.setId(rs.getInt(1));                u.setName(rs.getString(2));                u.setPassword(rs.getString(3));                u.setEmail(rs.getString(4));                u.setBirthday(rs.getDate(5));            }        } catch (Exception e) {            e.printStackTrace();        }finally{            DBUtils.closeAll(rs, stmt, conn);        }        return u;    }}