再谈连接数据库

（本文主要讲解的是：1如何防止数据库的注入，2，如何实现DBUtils，3，第三方工具类QueryRunner的使用）

1.防止数据库的注入

java作为企业级开发语言，你总能感受到它与数据库之间的紧密联系。

前面已经写过一遍关于statement 连接数据库的文章：JDBC连接数据库（statement）

当然了，statement只是其中一种初级的连接方式，在以前是会有被攻击的可能的

例如我前面讲到的用户登录，假如用户名随便输入一个，只要密码是：1'or'1=1

对于这样的执行sql 的过程显然能是被轻易注入了：

System.out.println("请输入用户名：");String uString = scanner.next();System.out.println("请输入用户密码：");String pString = scanner.next();// 4.执行sql语句String sqlString = "SELECT * FROM users WHERE username='" + uString + "' AND PASSWORD='" + pString + "'";ResultSet rSet = statement.executeQuery(sqlString);

这都是因为利用了sql语言的特点，这里相当于让数据库执行了：SELECT * FROM users WHERE username=uString  AND PASSWORD = 1 OR 1=1

不过我也是试过了许多网站，现在一般都不会再使用statement 来进行校验了

下面介绍另一种更为安全 的校验方式：PreparedStatement

使用方法和statement 其实都差不多的，就是在sql语言里面的用户名和密码这些变量都用一个占位 符  ？  来表示，然后再在下面设定

// 执行SQL语句,数据表,查询用户名和密码,如果存在,登录成功,不存在登录失败String sql = "SELECT * FROM users WHERE username=? AND PASSWORD=?";/* "SELECT*FROM users WHERE username=? AND PASSWORD=?" */// 调用Connection接口的方法prepareStatement,获取PrepareStatement接口的实现类// 方法中参数,SQL语句中的参数全部采用问号占位符PreparedStatement pStatement = connection.prepareStatement(sql);System.out.println(pStatement);// 调用pStatement对象set方法,设置问号占位符上的参数pStatement.setObject(1, uString);// 第一个问号pStatement.setObject(2, pString);// 第二个问号ResultSet rSet = pStatement.executeQuery();while (rSet.next()) {System.out.println(rSet.getString("username") + "..." + rSet.getString("password"));}

2，实现JDBC的工具类

如果每次调用sql 语句都要重新连接，那未免太麻烦了，这样，我们就想到使用一个类用来专门申请连接和关闭连接

但是又有一个问题，要是多次申请连接，这个新写的类就每次都会重新获取连接，其实并没有这个必要

我们可以使用static ，也就是静态块的特点，只要这个类一执行，就会执行一次，并且再调用的时候也不会再执行。避免了资源的浪费。

下面代码演示：

import java.sql.Connection;import java.sql.DriverManager;import java.sql.ResultSet;import java.sql.SQLException;import java.sql.Statement;/** * 实现JDBC的工具类 定义方法,直接返回数据库的连接对象 *  * 写关闭方法 */public class JDBCUtils {//构造方法私有private JDBCUtils(){}private static Connection connection;//进入这个类，先运行静态代码块static{try {Class.forName("com.mysql.jdbc.Driver");String url = "jdbc:mysql://localhost:3306/mydatabase";String username="root";String password="951218";connection = DriverManager.getConnection(url,username,password);} catch (Exception e) {//如果连接失败了就没必要继续下面的操作了throw new RuntimeException(e+"数据库连接失败");}}/* * 定义静态方法,返回数据库的连接对象 */public static Connection getConnection(){return connection;}//两个关闭方法重载public static void close (Connection connection,Statement statement){if (statement != null) {try {statement.close();} catch (SQLException e) {}}if(connection != null){try {connection.close();} catch (SQLException e) {}}}public static void close (Connection connection,Statement statement,ResultSet rSet ){if(statement != null){try {statement.close();} catch (SQLException e) {}}if(connection != null){try {connection.close();} catch (SQLException e) {}}if(rSet != null){try {rSet.close();} catch (SQLException e) {}}}}

3，使用QueryRunner类

我们除了可以使用自己写的dbutils之外，也可以使用第三方给我们提供好的工具类，这样就使得连接数据库更为简便了

这个工具类就是QueryRunner，开发的时候当然使用最为简单的方式了

这个工具类我会放到我的下载频道上面：java工具类 进行下载，或者到网上找

需要的可以去下载，当然，里面还有别的常用的工具类

使用方式：

（1）创建QueryRunner类对象

（2）写sql语句

（3）写占位符的实参

（4）调用QueryRunner类的执行方法update

import java.sql.Connection;import java.sql.SQLException;import org.apache.commons.dbutils.DbUtils;import org.apache.commons.dbutils.QueryRunner;import baseSyntax.connectMySQL.myJDBC.JDBCUtils;/* *  使用QueryRunner类,实现对数据表的 *  insert delete update *  调用QueryRunner类的方法 update (Connection con,String sql,Object...param) *  Object...param 可变参数,Object类型,SQL语句会出现?占位符 *  数据库连接对象,自定义的工具类传递 */public class QueryRunner_1 {private static Connection connection = JDBCUtils.getConnection();public static void main(String[] args)throws SQLException{insert();}//使用QueryRunner类的方法update向数据表中添加数据public static void insert()throws SQLException{//创建QueryRunner类对象QueryRunner qRunner = new QueryRunner();String sqlString = "INSERT INTO sort (sname,sprice,sdesc)VALUES(?,?,?)";//将三个?占位符的实际参数,写在数组中Object []params = {"体育用品","500","锻炼身体"};//调用QueryRunner类的方法update执行SQL语句System.out.println(qRunner.update(connection,sqlString,params));//update()返回一个int 值的成功执行代码行数DbUtils.closeQuietly(connection);}}

下面提供一个 QueryRunner数据查询操作的示例，可以作为参考学习：

（代码比较长，也可以copy到你的电脑上面去运行，方便以后使用）

import java.sql.Connection;import java.sql.SQLException;import java.util.List;import java.util.Map;import org.apache.commons.dbutils.QueryRunner;import org.apache.commons.dbutils.handlers.ArrayHandler;import org.apache.commons.dbutils.handlers.ArrayListHandler;import org.apache.commons.dbutils.handlers.BeanHandler;import org.apache.commons.dbutils.handlers.BeanListHandler;import org.apache.commons.dbutils.handlers.ColumnListHandler;import org.apache.commons.dbutils.handlers.MapHandler;import org.apache.commons.dbutils.handlers.MapListHandler;import org.apache.commons.dbutils.handlers.ScalarHandler;import baseSyntax.connectMySQL.myDBUtils.Sort;import baseSyntax.connectMySQL.myJDBC.JDBCUtils;/* * QueryRunner数据查询操作: *   调用QueryRunner类方法query(Connection con,String sql,ResultSetHandler r, Object..params) *   ResultSetHandler r 结果集的处理方式,传递ResultSetHandler接口实现类 *   Object..params SQL语句中的?占位符 *    *   注意: query方法返回值,返回的是T 泛型, 具体返回值类型,跟随结果集处理方式变化 */public class QueryRunner_2 {static Connection connection = JDBCUtils.getConnection();public static void main(String[] args) throws SQLException {//arrayHandler();//arrayListHandler();//beanHandler();//beanListHandler();//columnListHandler();//scanlarHandler();//mapHandler();mapListHandler();}/* *  结果集第八种处理方法,MapListHandler *  将结果集每一行存储到Map集合,键:列名,值:数据 *  Map集合过多,存储到List集合 */public static void mapListHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT  * FROM sort";//调用方法query,传递结果集实现类MapListHandler//返回值List集合, 存储的是Map集合List<Map<String, Object>>list = qRunner.query(connection, sqlString, new MapListHandler());for(Map<String , Object > map:list){for(String key:map.keySet()){System.out.print(key+":  "+map.get(key)+"  ");}System.out.println();}}/* *  结果集第七种处理方法,MapHandler *  将结果集第一行数据,封装到Map集合中 *  Map<键,值> 键:列名  值:这列的数据 */public static void mapHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT  * FROM sort";//调用方法query,传递结果集实现类MapHandler//返回值: Map集合,Map接口实现类, 泛型Map<String , Object> map = qRunner.query(connection, sqlString, new MapHandler());for(String key : map.keySet()){System.out.println(key +":  "+ map.get(key));}}/* *  结果集第六种处理方法,ScalarHandler *  对于查询后,只有1个结果 *  查询数据表共有几个数据 */public static void scanlarHandler()throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT COUNT(*) FROM sort";//调用方法query,传递结果集处理实现类ScalarHandlerlong count = qRunner.query(connection, sqlString, new ScalarHandler<Long>());System.out.println( count);}/* *  结果集第五种处理方法,ColumnListHandler *  结果集,指定列的数据,存储到List集合 *  List<Object> 每个列数据类型不同 */public static void columnListHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String slqString = "SELECT* FROM sort";//调用方法 query,传递结果集实现类ColumnListHandler//实现类构造方法中,使用字符串的列名List<Object>list = qRunner.query(connection, slqString, new ColumnListHandler<Object>("sname"));for(Object object : list){System.out.println(object);}}/* *  结果集第四种处理方法, BeanListHandler *  结果集每一行数据,封装JavaBean对象 *  多个JavaBean对象,存储到List集合 */public static void beanListHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";//调用方法query,传递结果集处理实现类BeanListHandlerList<Sort>list = qRunner.query(connection, sqlString, new BeanListHandler<Sort>(Sort.class));for(Sort sort :list){System.out.println(sort);}}/* *  结果集第三种处理方法,BeanHandler *  将结果集的第一行数据,封装成JavaBean对象 *  注意: 被封装成数据到JavaBean对象, Sort类必须有空参数构造 */public static void beanHandler() throws SQLException{QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";//调用方法,传递结果集实现类BeanHandler//BeanHandler(Class<T> type) Sort sort = qRunner.query(connection, sqlString, new BeanHandler<Sort>(Sort.class));System.out.println(sort);}/* * 结果集第二种处理方法,ArrayListHandler *  将结果集的每一行,封装到对象数组中, 出现很多对象数组 对象数组存储到List集合 */public static void arrayListHandler()throws SQLException {QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";// 调用query方法,结果集处理的参数上,传递实现类ArrayListHandler// 方法返回值 每行是一个对象数组,存储到ListList<Object[]> result = qRunner.query(connection, sqlString, new ArrayListHandler());//遍历集合for(Object[] objects: result){for(Object object: objects){System.out.print(object+"...");}System.out.println();}}/* * 结果集第一种处理方法, ArrayHandler  * 将结果集的第一行存储到对象数组中 Object[] */public static void arrayHandler() throws SQLException {QueryRunner qRunner = new QueryRunner();String sqlString = "SELECT * FROM sort";Object[] objects = qRunner.query(connection, sqlString, new ArrayHandler());for (Object object : objects) {System.out.println(object);}}}