JDBC 06 PreparedStatement（安全的执行SQL）_综合

2.2 prepareStatement（安全的执行SQL）

有备而来的执行对象！（安全还不说，执行的效率居然还比 Statement 对象要高！）

为什么可以防止 SQL 注入：因为它会把关键的地方让你使用参数的形式来进行设置完整的SQL语句。而一旦用这种形式，我们就可以把你需要设置进来的这个关键的字符串用 '' 给包进去！如果你设置的字符串里面带有一些特殊字符，比如 ' 单引号，就会被直接干掉（删除掉）！

为什么效率高呢：因为以参数形式进入收录你输入的关键字符串时，就需要提前预编译 SQL语句，也就是你得先给 preparedStatement 一个 SQL 语句的模板，在这条预编译的 SQL 语句中，?（问号）就代表着你要进行设置的参数字符串。

步骤如下：

创建 preparedStatement 对象

String ysql = "select * from `users` where `NAME`=? and `PASSWORD`=?";
st = conn.prepareStatement(ysql);//预编译 sql 语句，但不执行

该对象如果创建的话，需要提供一个预编译的 SQL 语句模板。（? 就代表着你需要设置的关键字符串！我们也将其称为 SQL 语句模板的参数。）

设置参数的值

st.setString(1,username);
st.setString(2,password);

SQL 语句模板的参数下标是从 1 开始的，与传统的 0 开始不一样。

执行 SQL 语句

rs = st.executeQuery();while(rs.next()){
    System.out.println(rs.getInt("id") + "|" + rs.getString("NAME")+"|"+ rs.getObject("PASSWORD") + "|"+rs.getString("email")+"|" + rs.getDate("birthday"));}

测试正常登录

login("罗翔", "159159");

在这里插入图片描述
5. 测试 SQL 注入

package com.muquanyu.lesson02;import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;public class prepareStatementDemo {
    public static void main(String[] args) {
    login("罗翔' or 1='1", "159159' or 1='1");}public static void login(String username,String password){
    Connection conn = null;PreparedStatement st = null;ResultSet rs = null;try {
    conn = JdbcUtils.getConnection();String ysql = "select * from `users` where `NAME`=? and `PASSWORD`=?";st = conn.prepareStatement(ysql);//预编译 sql 语句，但不执行//设置 参数的值st.setString(1,username);st.setString(2,password);//执行 预编译的SQL 语句（此时 SQL 语句 的参数已被设置，变为了 完整的 SQL）rs = st.executeQuery();while(rs.next()){
    System.out.println(rs.getInt("id") + "|" + rs.getString("NAME")+"|"+ rs.getObject("PASSWORD") + "|"+rs.getString("email")+"|" + rs.getDate("birthday"));}} catch (SQLException e) {
    e.printStackTrace();}}
}

在这里插入图片描述
这就是因为 ’ 已经被干掉了。

实际上你提供的username 和 password 是下面的那样：

username :‘罗翔 or 1=1’ （哪有这个 username 呀。。）
password ：'159159 or 1=1’

但是我们话又说过来，真的防止了吗？好像这个防止只能防住一些表层的操作。比如说无法直接通过这种输入用户名和密码来注入 SQL了。但是你无法保证以其它更牛的方式来进行注入 SQL。