第21章 JDBC

1. 基础知识

Java连接数据库，是通过操作系统完成相应的连接，这种连接方式被称为桥连接。以操作系统为桥梁（比如在windows系统中利用数据源ODBC），连接Java程序和关系型数据库。局限性：应用程序不可跨平台。

JDBC推出后，可以利用Java程序直接访问关系型数据库。

• Java提供了访问数据库的一系列的接口声明
• 各个数据库厂商提供这些接口的实现类，通过这些实现类可以访问对应数据库（驱动）
• 通过连接发送SQL语句，数据库给出执行结果

访问网络中某个数据库，需要以下信息

• IP地址
• 数据库的端口号
• 数据库的账号和密码
• 数据库名
  这些内容组成的“连接字符串”

2. 连接MySQL数据库

2.1 前置准备

• 打开MySQL数据库服务

• 在Java工程中，导入MySQL的驱动，让其参与编译
  (1)将jar包复制工程的任意位置，建议新建一个lib的文件夹
  (2)让jar包参与编译

  
  右键工程，点击properties

点击“Java Build Path”，打开“Libraries”选项卡，点击右侧的“Add JARs”

操作示范

找到，并选择刚刚复制的jar包文件，点击OK

找到并选中

点击OK后，可以看到mysql的驱动已经参与到了编译环境中

操作示范

2.2 查询的示例

创建连接各个数据库的连接的代码，格式都是固定的
基本思路：

1. 通过Class.forName("")加载驱动类

//1.加载驱动
try {
    Class.forName("com.mysql.jdbc.Driver");
} catch (ClassNotFoundException e) {
    e.printStackTrace();
}

2. 声明连接字符串和账号密码

//2.配置连接字符串
String url ="jdbc:mysql://localhost:3306/mydb?useUnicode=true&characterEncoding=utf-8&serverTimezone=GMT%2B8";
String username = "root";
String password = "root";

3. 利用DriverManager创建数据库连接（Connection）

//3.创建数据库连接
Connection conn = null;
try {
    conn = DriverManager.getConnection(url,username,password);
} catch (SQLException e) {
    e.printStackTrace();
}   

4.声明SQL语句

//4.声明SQL语句
String sql = "select empno,ename,hiredate from emp";

5.加载和执行SQL语句

//5.加载SQL语句
Statement s = conn.createStatement();
//6.执行SQL语句,得到查询结果(结果集对象)
ResultSet rs = s.executeQuery(sql);

6.遍历结果集

while(rs.next()) {
//每执行一轮循环，遍历出查询结果的一行数据
    int empno = rs.getInt("empno"); //取得整数类型的数据
    String ename = rs.getString("ename"); //取得文本类型的数据
    Date birthday = rs.getDate("hiredate"); //取得日期类型的数据
    System.out.println(empno+"\t"+ename+"\t"+birthday);
}

7.关闭数据库连接

//8.关闭数据库连接
try {
    conn.close();
} catch (SQLException e) {
    // TODO Auto-generated catch block
    e.printStackTrace();
}

完整示例

public class Test {

    public static void main(String[] args) {
        //1.加载驱动
        try {
            Class.forName("com.mysql.jdbc.Driver");
        } catch (ClassNotFoundException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        //2.配置连接字符串
        String url ="jdbc:mysql://localhost:3306/mydb?useUnicode=true&characterEncoding=utf-8&serverTimezone=GMT%2B8";
        String username = "root";
        String password = "root";
        
        //3.创建数据库连接
        Connection conn = null;
        try {
            conn = DriverManager.getConnection(url,username,password);
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }   
        //4.声明SQL语句
        String sql = "select empno,ename,hiredate from emp";    
        try {
            //5.加载SQL语句
            Statement s = conn.createStatement();
            //6.执行SQL语句,得到查询结果(结果集对象)
            ResultSet rs = s.executeQuery(sql);
            //7.遍历结果集
            while(rs.next()) {
                //每执行一轮循环，遍历出查询结果的一行数据
                int empno = rs.getInt("empno");
                String ename = rs.getString("ename");
                Date birthday = rs.getDate("hiredate");
                
                System.out.println(empno+"\t"+ename+"\t"+birthday);
            }
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            //8.关闭数据库连接
            try {
                conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

2.3 DML的示例

DML操作不需要遍历结果集，使用executeUpdate(sql)方法来完成DML操作，其返回结果为int类型，表示DML操作影响的数据行数。

public class Test2 {

    public static void main(String[] args) {
        // 1.加载驱动
        try {
            Class.forName("com.mysql.jdbc.Driver");
        } catch (ClassNotFoundException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        // 2.配置连接字符串
        String url = "jdbc:mysql://localhost:3306/mydb?useUnicode=true&characterEncoding=utf-8&serverTimezone=GMT%2B8";
        String username = "root";
        String password = "root";

        // 3.创建数据库连接
        Connection conn = null;
        try {
            conn = DriverManager.getConnection(url, username, password);
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }

        // 4.声明SQL语句
        String sql = "insert into emp values (1015,'HAHA','CLERK',null,null,5000,0,10)";
        try {
            // 5.加载SQL语句
            Statement s = conn.createStatement();
            // 6.执行SQL语句,得到的结果表示此次DML操作影响了a行数据
            int a = s.executeUpdate(sql);//增删改
            System.out.println(a);
            
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        } finally {
            // 8.关闭数据库连接
            try {
                conn.close();
            } catch (SQLException e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }
        }
    }
}

2.4 预加载的示例

因为用户可以输入，输入了一个SQL片段后可能对原有的SQL语句逻辑造成破坏，从而达到非法的目的
数据库表

image.png
登录程序

public class Test1 {

    public static void main(String[] args) {
        //1.加载驱动
        try {
            Class.forName("com.mysql.jdbc.Driver");
        } catch (ClassNotFoundException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        //2.连接字符串
        String url = "jdbc:mysql://localhost:3306/mydb?useUnicode=true&characterEncoding=utf-8&serverTimezone=GMT%2B8";
        String username = "root";
        String password = "root";
        
        //3.创建数据库连接
        Connection conn = null;
        try {
            conn = DriverManager.getConnection(url, username, password);
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        
        //4.声明SQL语句 
        System.out.println("请输入账号:");
        Scanner sc1 = new Scanner(System.in);
        String lname = sc1.nextLine();
        
        System.out.println("请输入密码:");
        Scanner sc2 = new Scanner(System.in);
        String lpass = sc2.nextLine();
        
        String sql = "select * from haha where lname = '"+lname+"' and lpass = '"+lpass+"'";
        System.out.println(sql);
        
        //5.加载和执行SQL语句
        try {
            Statement s = conn.createStatement();
            ResultSet rs = s.executeQuery(sql);
            if(rs.next()) {
                System.out.println("登录成功");
            }else {
                System.out.println("登录失败");
            }       
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        } finally {
            try {
                conn.close();
            } catch (SQLException e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }
        }   
    }
}

在输入admin/123或者haha/456的情况可以正常登录
如果输入错误的账号和密码是无法正确登录
但：如果用户输入的账号是：admin，密码是：' or 1=1 and lname='admin
执行的SQL语句变成了

select * from haha where lname = 'admin' and lpass = '' or 1=1 and lname='admin'

逻辑被破坏，也能够正常登录成功，这种情况就是SQL注入
SQL注入带来了很大的系统风险，也是经常被黑产所利用，在编写程序需要控制SQL注入的问题。

利用预加载的statement来解决SQL注入问题。
预加载的statement的特点（与Statement相比）

• 更安全：防止SQL注入
• 更高效：在SQL服务器提供了预先的编译，对于同种结构的SQL语句执行效率更高

将要输入至SQL的参数，使用英文"?"替代
将刚才有问题的程序更换如下

public class Test1 {

    public static void main(String[] args) {
        //1.加载驱动
        try {
            Class.forName("com.mysql.jdbc.Driver");
        } catch (ClassNotFoundException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        //2.连接字符串
        String url = "jdbc:mysql://localhost:3306/mydb?useUnicode=true&characterEncoding=utf-8&serverTimezone=GMT%2B8";
        String username = "root";
        String password = "root";
        
        //3.创建数据库连接
        Connection conn = null;
        try {
            conn = DriverManager.getConnection(url, username, password);
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        
        //4.声明SQL语句 
        System.out.println("请输入账号:");
        Scanner sc1 = new Scanner(System.in);
        String lname = sc1.nextLine();
        
        System.out.println("请输入密码:");
        Scanner sc2 = new Scanner(System.in);
        String lpass = sc2.nextLine();
        
        String sql = "select * from haha where lname = ? and lpass = ?";
        System.out.println(sql);
        
        //5.加载和执行SQL语句
        try {
            PreparedStatement pst = conn.prepareStatement(sql);
            //参数绑定：根据实际的数据类型进行设置
            pst.setString(1, lname);
            pst.setString(2, lpass);
            
            ResultSet rs = pst.executeQuery();
            if(rs.next()) {
                System.out.println("登录成功");
            }else {
                System.out.println("登录失败");
            }       
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        } finally {
            try {
                conn.close();
            } catch (SQLException e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }
        }   
    }
}

建议所有的JDBC统一使用PreparedStatement完成

2.5 批处理的示例（了解）

利用批处理，对一批SQL语句统一的执行，主要用于大量数据的新增操作中，节省时间。

Statement st = conn.createStatement();
for(int i = 0; i < 99; i++) {
    st.addBatch(sql); //将sql添加到批处理中
}
st.executeBatch(); //执行批次

优势：执行的速度较快
劣势：执行同样或者类似SQL