2017.6.27 jdbc基本使用

参考来自：http://www.runoob.com/w3cnote/jdbc-use-guide.html

1.jdbc的执行流程

JDBC API 允许用户访问任何形式的表格数据，尤其是存储在关系数据库中的数据。

执行流程：

• 连接数据源，如：数据库。

• 为数据库传递查询和更新指令。

• 处理数据库响应并返回的结果。

2.jdbc的编程步骤

2.1 加载驱动程序

Class.forName(driverClass)
//加载MySql驱动
Class.forName("com.mysql.jdbc.Driver")
//加载Oracle驱动
Class.forName("oracle.jdbc.driver.OracleDriver")

2.2 获得数据库连接

DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/imooc", "root", "root");

2.3 创建Statement\PreparedStatement对象

conn.createStatement();
conn.prepareStatement(sql);

2.4 执行操作

 import java.sql.Connection;
 import java.sql.DriverManager;
 import java.sql.ResultSet;
 import java.sql.Statement;

 public class DbUtil {

     public static final String URL = "jdbc:mysql://localhost:3306/imooc";
     public static final String USER = "liulx";
     public static final String PASSWORD = "123456";

     public static void main(String[] args) throws Exception {
         //1.加载驱动程序
         Class.forName("com.mysql.jdbc.Driver");
         //2. 获得数据库连接
         Connection conn = DriverManager.getConnection(URL, USER, PASSWORD);
         //3.操作数据库，实现增删改查
         Statement stmt = conn.createStatement();
         ResultSet rs = stmt.executeQuery("SELECT user_name, age FROM imooc_goddess");
         //如果有数据，rs.next()返回true
         while(rs.next()){
             System.out.println(rs.getString("user_name")+" 年龄："+rs.getInt("age"));
         }
     }
 }

3.完整示例

 public class DbUtil {
     public static final String URL = "jdbc:mysql://localhost:3306/imooc";
     public static final String USER = "liulx";
     public static final String PASSWORD = "123456";
     private static Connection conn = null;
     static{
         try {
             //1.加载驱动程序
             Class.forName("com.mysql.jdbc.Driver");
             //2. 获得数据库连接
             conn = DriverManager.getConnection(URL, USER, PASSWORD);
         } catch (ClassNotFoundException e) {
             e.printStackTrace();
         } catch (SQLException e) {
             e.printStackTrace();
         }
     }

     public static Connection getConnection(){
         return conn;
     }
 }

 package liulx.dao;

 import liulx.db.DbUtil;
 import liulx.model.Goddess;

 import java.sql.Connection;
 import java.sql.ResultSet;
 import java.sql.SQLException;
 import java.sql.Statement;
 import java.util.ArrayList;
 import java.util.List;

 public class GoddessDao {
     //增加
     public void addGoddess(Goddess g) throws SQLException {
         //获取连接
         Connection conn = DbUtil.getConnection();
         //sql
         String sql = "INSERT INTO imooc_goddess(user_name, sex, age, birthday, email, mobile,"+
             "create_user, create_date, update_user, update_date, isdel)"
                 +"values("+"?,?,?,?,?,?,?,CURRENT_DATE(),?,CURRENT_DATE(),?)";
         //预编译
         PreparedStatement ptmt = conn.prepareStatement(sql); //预编译SQL，减少sql执行

         //传参
         ptmt.setString(1, g.getUser_name());
         ptmt.setInt(2, g.getSex());
         ptmt.setInt(3, g.getAge());
         ptmt.setDate(4, new Date(g.getBirthday().getTime()));
         ptmt.setString(5, g.getEmail());
         ptmt.setString(6, g.getMobile());
         ptmt.setString(7, g.getCreate_user());
         ptmt.setString(8, g.getUpdate_user());
         ptmt.setInt(9, g.getIsDel());

         //执行
         ptmt.execute();
     }

     public void updateGoddess(){
         //获取连接
         Connection conn = DbUtil.getConnection();
         //sql, 每行加空格
         String sql = "UPDATE imooc_goddess" +
                 " set user_name=?, sex=?, age=?, birthday=?, email=?, mobile=?,"+
                 " update_user=?, update_date=CURRENT_DATE(), isdel=? "+
                 " where id=?";
         //预编译
         PreparedStatement ptmt = conn.prepareStatement(sql); //预编译SQL，减少sql执行

         //传参
         ptmt.setString(1, g.getUser_name());
         ptmt.setInt(2, g.getSex());
         ptmt.setInt(3, g.getAge());
         ptmt.setDate(4, new Date(g.getBirthday().getTime()));
         ptmt.setString(5, g.getEmail());
         ptmt.setString(6, g.getMobile());
         ptmt.setString(7, g.getUpdate_user());
         ptmt.setInt(8, g.getIsDel());
         ptmt.setInt(9, g.getId());

         //执行
         ptmt.execute();
     }

     public void delGoddess(){
         //获取连接
         Connection conn = DbUtil.getConnection();
         //sql, 每行加空格
         String sql = "delete from imooc_goddess where id=?";
         //预编译SQL，减少sql执行
         PreparedStatement ptmt = conn.prepareStatement(sql);
         //传参
         ptmt.setInt(1, id);
         //执行
         ptmt.execute();
     }
     //批量查询
     public List<Goddess> query() throws SQLException {
         Connection conn = DbUtil.getConnection();
         Statement stmt = conn.createStatement();  ？？？ PreparedStatement和statement的区别是什么？？？见下面（ps：这里不需要参数，可以直接用statement）。
         ResultSet rs = stmt.executeQuery("SELECT user_name, age FROM imooc_goddess");

         List<Goddess> gs = new ArrayList<Goddess>();
         Goddess g = null;
         while(rs.next()){
             g = new Goddess();
             g.setUser_name(rs.getString("user_name"));
             g.setAge(rs.getInt("age"));
             gs.add(g);
         }
         return gs;
     }
     //单个查询
     public Goddess querySingle(){
         Goddess g = null;
         //获取连接
         Connection conn = DbUtil.getConnection();
         //sql, 每行加空格
         String sql = "select * from  imooc_goddess where id=?";
         //预编译SQL，减少sql执行
         PreparedStatement ptmt = conn.prepareStatement(sql);？？？ PreparedStatement和statement的区别是什么？？？见下面。
         //传参
         ptmt.setInt(1, id);
         //执行
         ResultSet rs = ptmt.executeQuery();
         while(rs.next()){
             g = new Goddess();
             g.setId(rs.getInt("id"));
             g.setUser_name(rs.getString("user_name"));
             g.setAge(rs.getInt("age"));
             g.setSex(rs.getInt("sex"));
             g.setBirthday(rs.getDate("birthday"));
             g.setEmail(rs.getString("email"));
             g.setMobile(rs.getString("mobile"));
             g.setCreate_date(rs.getDate("create_date"));
             g.setCreate_user(rs.getString("create_user"));
             g.setUpdate_date(rs.getDate("update_date"));
             g.setUpdate_user(rs.getString("update_user"));
             g.setIsDel(rs.getInt("isdel"));
         }
         return g;
     }
 }

4.PreparedStatement和statement的区别是什么

参考来自：http://www.importnew.com/5006.html

PreparedStatement是用来执行SQL查询语句的API之一。

Java提供了 Statement、PreparedStatement 和 CallableStatement三种方式来执行查询语句：

Statement 用于通用查询
PreparedStatement 用于执行参数化查询
CallableStatement则是用于存储过程

有几个面试常用的问题：

 Statement与PreparedStatement的区别？
 为什么要用PreparedStatement？
 使用PreparedStatement有什么样的优势？
 PreparedStatement又是如何避免SQL注入攻击的？

4.1 Statement与PreparedStatement的区别

前面已经提过，Statement执行通用化查询，PreparedStatement执行参数化查询。

 conn.createStatement()；
 conn.prepareStatement（sql）；

4.2 用PreparedStatement的优势

使用PreparedStatement，数据库系统会对sql语句进行预编译处理（如果JDBC驱动支持的话），预处理语句将被预先编译好，这条预编译的sql查询语句能在将来的查询中重用，这样一来，它比Statement对象生成的查询速度更快。

同时，它还可以防止SQL注入式攻击。

4.3 PreparedStatement如何避免SQL注入攻击

在SQL注入攻击里，恶意用户通过SQL元数据绑定输入，比如：某个网站的登录验证SQL查询代码为：

strSQL = "SELECT * FROM users WHERE name = '" + userName + "' and pw = '"+ passWord +"';"

恶意填入：

userName = "1' OR '1'='1";
passWord = "1' OR '1'='1";

那么sql语句就变成了：

strSQL = "SELECT * FROM users WHERE name = '' OR ''='' and pw = '' OR ''='';"

即：（因此可以无账号密码直接登录。）

strSQL = "SELECT * FROM users;"

然而使用PreparedStatement的参数化的查询可以阻止大部分的SQL注入。在使用参数化查询的情况下，数据库系统（eg:MySQL）不会将参数的内容视为SQL指令的一部分来处理，而是在数据库完成SQL指令的编译后，才套用参数运行，因此就算参数中含有破坏性的指令，也不会被数据库所运行。

4.4 PreparedStatement的局限

为了防止SQL注入攻击，PreparedStatement不允许一个占位符（？）有多个值，在执行有**IN**子句查询的时候这个问题变得棘手起来。下面这个SQL查询使用PreparedStatement就不会返回任何结果：

SELECT * FROM loan WHERE loan_type IN (?)

preparedSatement.setString(1, "'personal loan', 'home loan', 'gold loan'");

如何解决呢？作者写在下篇博客里？？？下篇博客在哪？？？

4.5 PreparedStatement总结

当然可以使用Statement对象用来做做测试。但是在生产环境下一定要考虑使用 PreparedStatement 。

1. PreparedStatement可以写参数化查询，比Statement能获得更好的性能。
2. 对于PreparedStatement来说，数据库可以使用已经编译过及定义好的执行计划，这种预处理语句查询比普通的查询运行速度更快。
3. PreparedStatement可以阻止常见的SQL注入式攻击。
4. PreparedStatement可以写动态查询语句
5. “?” 叫做占位符。
7. PreparedStatement查询默认返回FORWARD_ONLY的ResultSet，你只能往一个方向移动结果集的游标。当然你还可以设定为其他类型的值如：”CONCUR_READ_ONLY”。
8. 不支持预编译SQL查询的JDBC驱动，在调用connection.prepareStatement(sql)的时候，它不会把SQL查询语句发送给数据库做预处理，
　　而是等到执行查询动作的时候（调用executeQuery()方法时）才把查询语句发送个数据库，这种情况和使用Statement是一样的。
9. 占位符的索引位置从1开始而不是0，如果填入0会导致*java.sql.SQLException invalid column index*异常。
   所以如果PreparedStatement有两个占位符，那么第一个参数的索引时1，第二个参数的索引是2.