MYSQL--JDBC优化

一.JDBC优化:

优化前提:

有时候我们并不清楚某些表当中一共有多少列,以及这些列的数据类型,这个时候我们就需要提前通过一些方法提前了解到这些数据,从而更好的进行输出

具体语句:

package cn.jdbc;

import java.sql.*;

public class JDBCDEmo1 {
    public static void main(String[] args) throws SQLException {
        // JDBC代码编写步骤

        // 1.注册驱动
        DriverManager.registerDriver(new com.mysql.cj.jdbc.Driver());
        // 2.获取连接
        // 在3306/后面加上自己查询的数据库的名称
        Connection connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/jdbc1","root","123456");
        // 3.执行SQL
        Statement statement = connection.createStatement();
        // 填写需要的SQL语句即可
        ResultSet resultSet = statement.executeQuery("select * from jdbcdemo1");
        //优化操作:
        //先获取表一共有多少列,获取其列数
        ResultSetMetaData metaData = resultSet.getMetaData();
        int columnCount = metaData.getColumnCount();
        //在这里,conlumnCount代表的就是获得的表的列数

        // 4.处理结果集
        while(resultSet.next()){
            //已经获取到了一共有多少行数,之后就可以采用循环的方式对于每一列放在同一行当中进行输出
            // resultSet.get(?)() 但是在这里需要注意的一点是,我们并不清楚每一列的数值类型,所以我们可以直接使用getObject的方式
            for (int i = 1; i <=columnCount; i++) {
                //在这里获取的是一行当中第i列的数值
                System.out.print(resultSet.getObject(i)+" ");
            }
            //一行的所有列都进行输出了之后就需要我们进行换行操作,再进行下一行的每一列的操作
            System.out.println();
        }

        // 5.关闭连接  释放资源
        resultSet.close();
        statement.close();
        connection.close();
    }
}

更加推荐这种方式

二:有关MYSQL的SQL语言注入

1.介绍:

        SQL注入: 指的是对于用户输入的内容,变成了SQL语句当中的一部分,从而改变了SQL语句真正意义

2.具体操作演示:

package cn.jdbc;

import java.sql.*;
import java.util.Scanner;

public class JDBCDEmo2 {
    public static void main(String[] args) throws SQLException {
        Scanner in =new Scanner(System.in);
        // SQL注入: 指的是对于用户输入的内容,变成了SQL语句当中的一部分,从而改变了SQL语句真正意义
        System.out.println("请输入您的用户名");
        String username=in.next();
        System.out.println("请输入您的密码");
        String password=in.next();
        // 1.注册驱动
        DriverManager.registerDriver(new com.mysql.cj.jdbc.Driver());
        // 2.获取连接
        // 在3306/后面加上自己查询的数据库的名称
        Connection connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/jdbc2","root","123456");
        // 3.执行SQL
        Statement statement = connection.createStatement();
        //提前设置SQL语句
        //如果密码正确可以直接机内
        String sql ="select * from user where username='"+username+"'and password='"+password+"'";
        ResultSet resultSet = statement.executeQuery(sql);
        //判断是否存在数据,如果输入正确则能够查询到并输出
        if (resultSet.next()){
            System.out.println("登陆成功!");
        }
        else {
            System.out.println("登录失败!");
        }
        connection.close();
        resultSet.close();
        statement.close();
    }

在这里,我们拿我MSQL当中的JDBC2的表user表格作为数据参考

输入正确的用户名,密码,可以正常的进入:

但是,如果输入某些特殊的字符,就有可能导致原本错误的变成了正确的数据,从而进入到其中,也就是输入的东西对于SQL语句造成了某些改变

可以看到账号密码明显不正确,但是依然显示登录成功

通过对于SQL语句的打印,发现是输入的密码让原本的SQL语句的意义发生了改变,因为or之后的1=1永远成立,因此不管密码账号是否是正确的,都一直都能够登录成功

3.SQL注入解决方式

        // 3.执行SQL
        Statement statement = connection.createStatement();
        //提前设置SQL语句
        //如果密码正确可以直接机内
        // 在这里,我们将需要用户输入的数据改为   ?  之后进行处理
        String sql ="select * from user where username=? and password=?";

        PreparedStatement preparedStatement = connection.prepareStatement(sql);

        // 之后调用相应的SETOBJECT方法,设置第一个?代表的什么变量,以及第二个代表什么变量,从而让SQL语句变得更加的完整

        preparedStatement.setObject(1,username);
        preparedStatement.setObject(2,password);
        // 在这里,我们不需要再进行输入相应的SQL语句,再预处理的时候已经接受到了SQL语句
        // 并且需要注意的是,使用的是预处理(prepareStatement)的方法
        ResultSet resultSet = preparedStatement.executeQuery();

经过预处理之后,再输入相应的语句,再进行测试