开发者社区> 谙忆> 正文

MySQL---数据库从入门走向大神系列(七)-Java访问数据库配置及简单使用方法execute(2)

简介: MySQL---数据库从入门走向大神系列(七)-Java访问数据库配置及简单使用方法execute
+关注继续查看

PrepareStatement:

java,servlet中的PreparedStatement 接口继承了Statement,并与之在两方面有所不同:有人主张,在JDBC应用中,如果你已经是稍有水平开发者,你就应该始终以PreparedStatement代替Statement.也就是说,在任何时候都不要使用Statement。

PreparedStatement 实例包含已编译的 SQL 语句。这就是使语句“准备好”。包含于 PreparedStatement 对象中的 SQL 语句可具有一个或多个 IN 参数。IN参数的值在 SQL 语句创建时未被指定。相反的,该语句为每个 IN 参数保留一个问号(“?”)作为占位符。每个问号的值必须在该语句执行之前,通过适当的setXXX 方法来提供。

优点: 

一.代码的可读性和可维护性.

虽然用PreparedStatement来代替Statement会使代码多出几行,但这样的代码无论从可读性还是可维护性上来说.都比直接用Statement的代码高很多档次: 

示例:

stmt.executeUpdate("insertintotb_name(col1,col2,col2,col4)values('"+var1+"','"+var2+"',"+var3+",'"+var4+"')");
  perstmt=con.prepareStatement("insertintotb_name(col1,col2,col2,col4)values(?,?,?,?)");
  perstmt.setString(1,var1);
  perstmt.setString(2,var2);
  perstmt.setString(3,var3);
  perstmt.setString(4,var4);
  perstmt.executeUpdate();

二.PreparedStatement尽最大可能提高性能.

每一种数据库都会尽最大努力对预编译语句提供最大的性能优化.因为预编译语句有可能被重复调用.所以语句在被DB的编译器编译后的执行代码被缓存下来,那么下次调用时只要是相同的预编译语句就不需要编译,只要将参数直接传入编译过的语句执行代码中(相当于一个涵数)就会得到执行.这并不是说只有一个Connection中多次执行的预编译语句被缓存,而是对于整个DB中,只要预编译的语句语法和缓存中匹配.那么在任何时候就可以不需要再次编译而可以直接执行.而statement的语句中,即使是相同一操作,而由于每次操作的数据不同所以使整个语句相匹配的机会极小,几乎不太可能匹配.比如:

insertintotb_name(col1,col2)values('11','22');
  insertintotb_name(col1,col2)values('11','23');

  即使是相同操作但因为数据内容不一样,所以整个个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句编译后的执行代码缓存. 

  当然并不是所以预编译语句都一定会被缓存,数据库本身会用一种策略,比如使用频度等因素来决定什么时候不再缓存已有的预编译结果.以保存有更多的空间存储新的预编译语句.

 三.最重要的一点是极大地提高了安全性.

即使到目前为止,仍有一些人连基本的恶义SQL语法都不知道.

String sql="select * from tb_name where name='"+varname+"' and passwd='"+varpasswd+"'";

如果我们把[‘or’1’=’1]作为varpasswd传入进来.用户名随意,看看会成为什么?

select * from tb_name =' 随意 ' and passwd='' or '1'='1';

因为’1’=’1’肯定成立,所以可以任何通过验证.更有甚者:

[';drop table tb_name;]作为varpasswd传入进来,则:

select * from tb_name=' 随意 ' and passwd='' ; drop table tb_name;

有些数据库是不会让你成功的,但也有很多数据库就可以使这些语句得到执行.

而如果你使用预编译语句.你传入的任何内容就不会和原来的语句发生任何匹配的关系.只要全使用预编译语句,你就用不着对传入的数据做任何过虑.而如果使用普通的statement,有可能要对drop,;等做费尽心机的判断和过虑.

模拟用户登录:

这里如果用普通的statement是很容易被黑的。

stud表:

image.png

模拟用户输入id和name登录:

@Test //不会被黑:如输入name值为: a' or '1'='1
    public void login() throws SQLException{
        Connection con = ConnFactory.getConnection();
        Scanner sc = new Scanner(System.in);
        String id = sc.next();
        String name = sc.next();
        System.out.println(id+","+name);
        //创建预处理语句对象
        String sql = "select count(*) from stud where id=? and sname =?";
        //凡是用户输入的地方,用“?”号(称为占位符)填入
        PreparedStatement pst = con.prepareStatement(sql);
        //给占位符设置值---设置参数
        pst.setString(1, id);//给第一个?号参数设置值
        pst.setString(2, name);//给第二个?号参数设置值
        ResultSet rs = pst.executeQuery();//这里不能传参数sql
        rs.next();//因为这里查询到的肯定只有一个数目,只要接一个参数就可以了
        int n = rs.getInt(1);
        if(n<=0){
            System.out.println("登录失败...");
        }else{
            System.out.println("登录成功...");
        }
        con.close();
    }

这样的话,无论用户输入啥符号都不管用了,必须输入正确的id和name。

PreparedStatement 执行批处理

@Test
    public void preBatchDemo() throws SQLException{
        Connection con = ConnFactory.getConnection();
        String sql = "insert into book(name,price,birth) values(?,?,'2013-11-28 19:00:15' )";
        PreparedStatement pst = con.prepareStatement(sql);
        for(int i=0;i<5;i++){
            pst.setString(1, "bb"+i);
            pst.setDouble(2, 25+i);
            pst.addBatch();
        }
        sql="update book set price = price*1.1 where price<30";
        pst.addBatch(sql);
        int a[] = pst.executeBatch();
        for(int x:a){
            System.out.println(x);
        }
        ConnFactory.getConnection().close();
    }

image.png


转载请附上原文链接: 

http://blog.csdn.net/qq_26525215/article/details/52153452

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
Java对文件的读、写随机访问,RandomAccessFile类的使用分析
  在网上看了一些关于java中的RandomAccessFile类的介绍,又经过查看Java API和自己编的测试程序,总算是对RandomAccessFile的使用有了一定的了解。自己做了以下比较详细的总结吧。
1079 0
使用c#访问Access数据库时,提示找不到可安装的 ISAM
使用c#访问Access数据库时,提示找不到可安装的 ISAM,如下图: 代码如下: connectionString = "Provider=Microsoft.Jet.
1253 0
MySQL---数据库从入门走向大神系列(七)-Java访问数据库配置及简单使用方法execute
从操作配置文件properties中读取连接字符串,通过该字符串进行数据连接,需要写三个文件其中,两个是java类,一个是后缀名为.properties的文件,该文件放在src工作目录下。
1019 0
MySQL---数据库从入门走向大神系列(二)-用Java对MySQL进行增删改查
上节已经学会对MySQL进行简单的增删改查了,那么,我们如何实现用Java来对数据库操作增删改呢。 本节将用Java演示对MySQL进行增删改查。 简单的来说,分为4个步骤: 1、加载连接器(驱动)   通过Driver类 (最好用类反射来加载,更加灵活) 2、建立与数据库的连接 3、获取语句对象 4、对数据库进行操作(增删改查) 其实第一步现在可以不用写了,高版本的MySQL已经在内部帮我们写好了第一步,但是,为了兼容性更好(兼容低版本的MySQL)我们最好还是写上第一步。
1278 0
+关注
谙忆
GitHub: https://github.com/chenhaoxiang
1453
文章
40
问答
文章排行榜
最热
最新
相关电子书
更多
JS零基础入门教程(上册)
立即下载
性能优化方法论
立即下载
手把手学习日志服务SLS,云启实验室实战指南
立即下载