使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

一、MySQL数据库的下载及安装

https://www.mysql.com/

点击DOWNLOADS,拉到页面底部,找到MySQL Community(GPL)Downloads,点击

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

选择下图中的MySQL Community Server

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

选择想要的版本进行下载

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

之后的步骤,因为本人已经安装过MySQL数据库,而卸载重装会比较麻烦,卸载不干净会导致新的装不上,所以可以参考下面的博客,因为官网的改动,前面的部分已经与该博客不符,按照本人在上面的介绍寻找即可

https://blog.csdn.net/weixin_42555080/article/details/87884902

下面是数据库可视化工具Navicat的下载及破解教程

https://blog.csdn.net/WYpersist/article/details/86530973

二、使用JDBC利用Statement来对MySQL数据库进行简单的增删改查

JDBC:Java  DataBase Connectivity
可以为多种关系型数据库DBMS提供统一的访问方式,用java来操作数据库。
Java程序通过JDBC来操作JDBC DriverManager 来操作数据库驱动程序(如Mysql驱动程序),进而操作数据库(如Mysql数据库)。

1、JDBC API:提供各种访问接口
 三项功能:
 Java程序与数据库建立连接
 Java程序发送SQL语句给数据库
 数据库返回处理结果给Java程序
 
 三项功能具体通过下面类/接口实现
 DriverManager:管理JDBC驱动
 Connection:Java程序与数据库建立连接
 Statement( PreparedStatement子类):增删改查
 CallableStatement:调用数据库的存储过程/存储函数
 ResultSet: 数据库返回的结果集
 
 JDBC访问数据库的具体步骤
 a.导入驱动,加载具体的驱动类
 b.与数据库建立连接
 c.发送SQL,执行
 d.处理结果集(查询)

驱动jar
如mysql-connector-java-x.jar(其中x为具体的版本号)
具体驱动类:
如com.mysql.jdbc.Driver

连接字符串
数据库名、IP地址、端口号
如:jdbc:mysql://localhost:3306/数据库实例名

Connection产生操作数据库的对象
connection.createStatement():产生Statement
connection.prepareStatement():产生PreparedStatement
connection.prepareCall():产生CallableStatement

ResultSet: 数据库返回的结果集 select * from xxx(表名)
ResultSet rs=null;
rs.next();
1、下移
2、判断下移后的元素是否有数据
  如果不为空:返回true(有数据)
  如果为空:返回false(无数据)
rs.previous():
1、上移
2、判断上移后的元素是否有数据
  如果不为空:返回true(有数据)
  如果为空:返回false(无数据)

rs.getXXX(字段名|下标):获取rs指向行的数据

Statement操作数据库
增删改:executeUpdate(sql)
查:executeQuery(sql)

实例

在Navicat建表如图

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

原码如下

package JDBCDemo;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement; public class JDBCDemo {
private static final String URL="jdbc:mysql://localhost:3306/mysql?serverTimezone=UTC&characterEncoding=utf-8";
private static final String USERNAME="root";
private static final String PWD="vayne";
public static void update()
{
Statement stmt=null;
Connection connection=null;
try { //a.导入驱动,加载具体的驱动类
Class.forName("com.mysql.cj.jdbc.Driver");
//b.与数据库建立连接
connection = DriverManager.getConnection(URL,USERNAME,PWD);
//使用Ctrl+1,快速生成值来获取Connection
//c.发送SQL,执行(增删改、查)
stmt = connection.createStatement();
//增
//String sql="insert into student values(1,'张志伟',19)";
//删
String sql="delete from student where name ='zzw'";
//改
//String sql="update student set name ='zzw' where id=1";
//执行SQL
int count=stmt.executeUpdate(sql);//返回值表示,增删改几条数据
//处理结果
if(count>0)
{
System.out.println("操作成功!!!");
} }catch(ClassNotFoundException e) {
e.printStackTrace();
}catch(SQLException e) {
e.printStackTrace();
}catch(Exception e){
e.printStackTrace();
}finally {
try {
//先开的后关,后开的先关
if(stmt!=null)stmt.close();
if(connection !=null)connection.close();
}catch(SQLException e) {
e.printStackTrace();
}finally { }
} } public static void query() {
Statement stmt=null;
Connection connection=null;
ResultSet rs=null;
try { //a.导入驱动,加载具体的驱动类
Class.forName("com.mysql.cj.jdbc.Driver");
//b.与数据库建立连接
connection = DriverManager.getConnection(URL,USERNAME,PWD);
//使用Ctrl+1,快速生成值来获取Connection
//c.发送SQL,执行(增删改、查)
stmt = connection.createStatement();
//查
//String sql="select name,age from student"; //模糊查询
String aname="x";
String sql="select * from student where name like'%"+aname+"%'";
//执行SQL,增删改是executeUpdate(sql),查是executeQuery(sql)
rs=stmt.executeQuery(sql);//返回值表示,增删改几条数据
//处理结果
while(rs.next()) {
String sname=rs.getString("name");
int sage=rs.getInt("age");
System.out.println("姓名:"+sname+"年龄"+sage);
} }catch(ClassNotFoundException e) {
e.printStackTrace();
}catch(SQLException e) {
e.printStackTrace();
}catch(Exception e){
e.printStackTrace();
}finally {
try {
//先开的后关,后开的先关
if(rs!=null)rs.close();
if(stmt!=null)stmt.close();
if(connection !=null)connection.close();
}catch(SQLException e) {
e.printStackTrace();
}finally { }
} }
public static void main(String[] args) {
//update();
query();
}
}

增和查

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

改和查

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

删和查

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

模糊查询

String aname="x";
String sql="select * from student where name like'%"+aname+"%'";

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

在表中添加如图

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

实现模糊查询

三、使用JDBC利用PreparedStatement来对MySQL数据库进行简单的增删改查

PreparedStatement操作数据库
因为PreparedStatement是Statement的子类
因此:
增删改:executeUpdate(sql)
查:executeQuery(sql)
赋值操作:setXXX();

实例

原码如下

package JDBCDemo;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement; public class JDBCPrepareDemo {
private static final String URL="jdbc:mysql://localhost:3306/mysql?serverTimezone=UTC&characterEncoding=utf-8";
private static final String USERNAME="root";
private static final String PWD="vayne";
public static void update()
{
PreparedStatement pstmt=null;
Connection connection=null;
try { //a.导入驱动,加载具体的驱动类
Class.forName("com.mysql.cj.jdbc.Driver");
//b.与数据库建立连接
connection = DriverManager.getConnection(URL,USERNAME,PWD);
//使用Ctrl+1,快速生成值来获取Connection
//c.发送SQL,执行(增删改、查)
//增
//String sql="insert into student values(?,?,?)";
//删
String sql="delete from student where name ='zzw'";
//改
//String sql="update student set name ='zzw' where id=66";
//执行SQL pstmt = connection.prepareStatement(sql);//预编译
//pstmt.setInt(1, 66);
//pstmt.setString(2, "六六大顺");
//pstmt.setInt(3, 6); int count=pstmt.executeUpdate();//返回值表示,增删改几条数据
//处理结果
if(count>0)
{
System.out.println("操作成功!!!");
} }catch(ClassNotFoundException e) {
e.printStackTrace();
}catch(SQLException e) {
e.printStackTrace();
}catch(Exception e){
e.printStackTrace();
}finally {
try {
//先开的后关,后开的先关
if(pstmt!=null)pstmt.close();
if(connection !=null)connection.close();
}catch(SQLException e) {
e.printStackTrace();
}finally { }
} } public static void query() {
PreparedStatement pstmt=null;
Connection connection=null;
ResultSet rs=null;
try { //a.导入驱动,加载具体的驱动类
Class.forName("com.mysql.cj.jdbc.Driver");
//b.与数据库建立连接
connection = DriverManager.getConnection(URL,USERNAME,PWD);
//使用Ctrl+1,快速生成值来获取Connection
//c.发送SQL,执行(增删改、查)
//查
String sql="select name,age from student"; //模糊查询
//String sql="select * from student where name like ?";
//执行SQL,增删改是executeUpdate(sql),查是executeQuery(sql)
pstmt = connection.prepareStatement(sql);//预编译
//pstmt.setString(1, "%x%");
rs=pstmt.executeQuery();//返回值表示,增删改几条数据
//处理结果
while(rs.next()) {
String sname=rs.getString("name");
int sage=rs.getInt("age");
System.out.println("姓名:"+sname+"年龄"+sage);
} }catch(ClassNotFoundException e) {
e.printStackTrace();
}catch(SQLException e) {
e.printStackTrace();
}catch(Exception e){
e.printStackTrace();
}finally {
try {
//先开的后关,后开的先关
if(rs!=null)rs.close();
if(pstmt!=null)pstmt.close();
if(connection !=null)connection.close();
}catch(SQLException e) {
e.printStackTrace();
}finally { }
} }
public static void main(String[] args) {
update();
query();
}
}

增和查

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

改和查

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

删和查

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

模糊查询
            String sql="select * from student where name like ?";//预编译
            //执行SQL,增删改是executeUpdate(sql),查是executeQuery(sql)
            pstmt = connection.prepareStatement(sql);
            pstmt.setString(1, "%x%");

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

在表中添加如图

使用JDBC分别利用Statement和PreparedStatement来对MySQL数据库进行简单的增删改查以及SQL注入的原理

实现模糊查询

四、Statement和PreparedStatement的比较

推荐使用PreparedStatement,原因如下:
1、编码更加简便(避免了字符串拼接)
如:int id =1;String name="张志伟"
stmt:
String sql="insert into student(id,name) values("+id+",'"+name+"')";
stmt.executeupdate(sql);

pstmt:
String sql="insert into student(id,name) values(?,?)";
pstmt=connection.prepareStatement(sql);//预编译sql
pstmt.setInt(1,id);
pstmt.setString(2,name);

2、可以提高性能(因为有预编译,预编译只编译一次)
当添加n次,
stmt:sql编译n次
pstmt:sql只编译一次

3、更加安全

stmt:存在被sql注入的风险
如:用户名:任意值 ’ or 1=1 --
   密码:任意值
   会登录成功
   select count(*) from login where uname='"+name+"' and upwd ='"+pwd+"';
   进行代入检验:
   select count(*) from login where uname='任意值 ’ or 1=1 --' and upwd ='任意值';
   uname='任意值 ’为false
   or
    1=1 为true
    --' and upwd ='任意值';    sql语句中--为注释,后面全是注释
    所以,where的结果是true,登录成功
    相当于select count(*) from login

sql注入:将客户输入的内容 和开发人员的SQL语句 混为一体

pstmt:可以防止sql注入

上一篇:IAR Embedded Workbench 破解方法+工具+授权文件


下一篇:CURLOPT_HEADER