2017.6.27 jdbc基本使用

参考来自：http://www.runoob.com/w3cnote/jdbc-use-guide.html

1.jdbc的执行流程

JDBC API 允许用户访问任何形式的表格数据，尤其是存储在关系数据库中的数据。

执行流程：

连接数据源，如：数据库。
为数据库传递查询和更新指令。
处理数据库响应并返回的结果。

2.jdbc的编程步骤

2.1 加载驱动程序

Class.forName(driverClass)

//加载MySql驱动

Class.forName("com.mysql.jdbc.Driver")

//加载Oracle驱动

Class.forName("oracle.jdbc.driver.OracleDriver")

2.2 获得数据库连接

DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/imooc", "root", "root");

2.3 创建Statement\PreparedStatement对象

conn.createStatement();

conn.prepareStatement(sql);

2.4 执行操作

 import java.sql.Connection;

 import java.sql.DriverManager;

 import java.sql.ResultSet;

 import java.sql.Statement;

 public class DbUtil {

     public static final String URL = "jdbc:mysql://localhost:3306/imooc";

     public static final String USER = "liulx";

     public static final String PASSWORD = "123456";

     public static void main(String[] args) throws Exception {

         //1.加载驱动程序

         Class.forName("com.mysql.jdbc.Driver");

         //2. 获得数据库连接

         Connection conn = DriverManager.getConnection(URL, USER, PASSWORD);

         //3.操作数据库，实现增删改查

         Statement stmt = conn.createStatement();

         ResultSet rs = stmt.executeQuery("SELECT user_name, age FROM imooc_goddess");

         //如果有数据，rs.next()返回true

         while(rs.next()){

             System.out.println(rs.getString("user_name")+" 年龄："+rs.getInt("age"));

         }

     }

 }

3.完整示例

 public class DbUtil {

     public static final String URL = "jdbc:mysql://localhost:3306/imooc";

     public static final String USER = "liulx";

     public static final String PASSWORD = "123456";

     private static Connection conn = null;

     static{

         try {

             //1.加载驱动程序

             Class.forName("com.mysql.jdbc.Driver");

             //2. 获得数据库连接

             conn = DriverManager.getConnection(URL, USER, PASSWORD);

         } catch (ClassNotFoundException e) {

             e.printStackTrace();

         } catch (SQLException e) {

             e.printStackTrace();

         }

     }

     public static Connection getConnection(){

         return conn;

     }

 }

 package liulx.dao;

 import liulx.db.DbUtil;

 import liulx.model.Goddess;

 import java.sql.Connection;

 import java.sql.ResultSet;

 import java.sql.SQLException;

 import java.sql.Statement;

 import java.util.ArrayList;

 import java.util.List;

 public class GoddessDao {

     //增加

     public void addGoddess(Goddess g) throws SQLException {

         //获取连接

         Connection conn = DbUtil.getConnection();

         //sql

         String sql = "INSERT INTO imooc_goddess(user_name, sex, age, birthday, email, mobile,"+

             "create_user, create_date, update_user, update_date, isdel)"

                 +"values("+"?,?,?,?,?,?,?,CURRENT_DATE(),?,CURRENT_DATE(),?)";

         //预编译

         PreparedStatement ptmt = conn.prepareStatement(sql); //预编译SQL，减少sql执行

         //传参

         ptmt.setString(1, g.getUser_name());

         ptmt.setInt(2, g.getSex());

         ptmt.setInt(3, g.getAge());

         ptmt.setDate(4, new Date(g.getBirthday().getTime()));

         ptmt.setString(5, g.getEmail());

         ptmt.setString(6, g.getMobile());

         ptmt.setString(7, g.getCreate_user());

         ptmt.setString(8, g.getUpdate_user());

         ptmt.setInt(9, g.getIsDel());

         //执行

         ptmt.execute();

     }

     public void updateGoddess(){

         //获取连接

         Connection conn = DbUtil.getConnection();

         //sql, 每行加空格

         String sql = "UPDATE imooc_goddess" +

                 " set user_name=?, sex=?, age=?, birthday=?, email=?, mobile=?,"+

                 " update_user=?, update_date=CURRENT_DATE(), isdel=? "+

                 " where id=?";

         //预编译

         PreparedStatement ptmt = conn.prepareStatement(sql); //预编译SQL，减少sql执行

         //传参

         ptmt.setString(1, g.getUser_name());

         ptmt.setInt(2, g.getSex());

         ptmt.setInt(3, g.getAge());

         ptmt.setDate(4, new Date(g.getBirthday().getTime()));

         ptmt.setString(5, g.getEmail());

         ptmt.setString(6, g.getMobile());

         ptmt.setString(7, g.getUpdate_user());

         ptmt.setInt(8, g.getIsDel());

         ptmt.setInt(9, g.getId());

         //执行

         ptmt.execute();

     }

     public void delGoddess(){

         //获取连接

         Connection conn = DbUtil.getConnection();

         //sql, 每行加空格

         String sql = "delete from imooc_goddess where id=?";

         //预编译SQL，减少sql执行

         PreparedStatement ptmt = conn.prepareStatement(sql);

         //传参

         ptmt.setInt(1, id);

         //执行

         ptmt.execute();

     }

     //批量查询

     public List<Goddess> query() throws SQLException {

         Connection conn = DbUtil.getConnection();

         Statement stmt = conn.createStatement();  ？？？ PreparedStatement和statement的区别是什么？？？见下面（ps：这里不需要参数，可以直接用statement）。

         ResultSet rs = stmt.executeQuery("SELECT user_name, age FROM imooc_goddess");

         List<Goddess> gs = new ArrayList<Goddess>();

         Goddess g = null;

         while(rs.next()){

             g = new Goddess();

             g.setUser_name(rs.getString("user_name"));

             g.setAge(rs.getInt("age"));

             gs.add(g);

         }

         return gs;

     }

     //单个查询

     public Goddess querySingle(){

         Goddess g = null;

         //获取连接

         Connection conn = DbUtil.getConnection();

         //sql, 每行加空格

         String sql = "select * from  imooc_goddess where id=?";

         //预编译SQL，减少sql执行

         PreparedStatement ptmt = conn.prepareStatement(sql);？？？ PreparedStatement和statement的区别是什么？？？见下面。

         //传参

         ptmt.setInt(1, id);

         //执行

         ResultSet rs = ptmt.executeQuery();

         while(rs.next()){

             g = new Goddess();

             g.setId(rs.getInt("id"));

             g.setUser_name(rs.getString("user_name"));

             g.setAge(rs.getInt("age"));

             g.setSex(rs.getInt("sex"));

             g.setBirthday(rs.getDate("birthday"));

             g.setEmail(rs.getString("email"));

             g.setMobile(rs.getString("mobile"));

             g.setCreate_date(rs.getDate("create_date"));

             g.setCreate_user(rs.getString("create_user"));

             g.setUpdate_date(rs.getDate("update_date"));

             g.setUpdate_user(rs.getString("update_user"));

             g.setIsDel(rs.getInt("isdel"));

         }

         return g;

     }

 }

4.PreparedStatement和statement的区别是什么

参考来自：http://www.importnew.com/5006.html

PreparedStatement是用来执行SQL查询语句的API之一。

Java提供了 Statement、PreparedStatement 和 CallableStatement三种方式来执行查询语句：

Statement 用于通用查询

PreparedStatement 用于执行参数化查询

CallableStatement则是用于存储过程

有几个面试常用的问题：

 Statement与PreparedStatement的区别？

 为什么要用PreparedStatement？

 使用PreparedStatement有什么样的优势？

 PreparedStatement又是如何避免SQL注入攻击的？

4.1 Statement与PreparedStatement的区别

前面已经提过，Statement执行通用化查询，PreparedStatement执行参数化查询。

 conn.createStatement()；

 conn.prepareStatement（sql）；

4.2 用PreparedStatement的优势

使用PreparedStatement，数据库系统会对sql语句进行预编译处理（如果JDBC驱动支持的话），预处理语句将被预先编译好，这条预编译的sql查询语句能在将来的查询中重用，这样一来，它比Statement对象生成的查询速度更快。

同时，它还可以防止SQL注入式攻击。

4.3 PreparedStatement如何避免SQL注入攻击

在SQL注入攻击里，恶意用户通过SQL元数据绑定输入，比如：某个网站的登录验证SQL查询代码为：

strSQL = "SELECT * FROM users WHERE name = '" + userName + "' and pw = '"+ passWord +"';"

恶意填入：

userName = "1' OR '1'='1";

passWord = "1' OR '1'='1";

那么sql语句就变成了：

strSQL = "SELECT * FROM users WHERE name = '' OR ''='' and pw = '' OR ''='';"

即：（因此可以无账号密码直接登录。）

strSQL = "SELECT * FROM users;"

然而使用PreparedStatement的参数化的查询可以阻止大部分的SQL注入。在使用参数化查询的情况下，数据库系统（eg:MySQL）不会将参数的内容视为SQL指令的一部分来处理，而是在数据库完成SQL指令的编译后，才套用参数运行，因此就算参数中含有破坏性的指令，也不会被数据库所运行。

4.4 PreparedStatement的局限

为了防止SQL注入攻击，PreparedStatement不允许一个占位符（？）有多个值，在执行有**IN**子句查询的时候这个问题变得棘手起来。下面这个SQL查询使用PreparedStatement就不会返回任何结果：

SELECT * FROM loan WHERE loan_type IN (?)

preparedSatement.setString(1, "'personal loan', 'home loan', 'gold loan'");

如何解决呢？作者写在下篇博客里？？？下篇博客在哪？？？

4.5 PreparedStatement总结

当然可以使用Statement对象用来做做测试。但是在生产环境下一定要考虑使用 PreparedStatement 。

1. PreparedStatement可以写参数化查询，比Statement能获得更好的性能。

2. 对于PreparedStatement来说，数据库可以使用已经编译过及定义好的执行计划，这种预处理语句查询比普通的查询运行速度更快。

3. PreparedStatement可以阻止常见的SQL注入式攻击。

4. PreparedStatement可以写动态查询语句

5. “?” 叫做占位符。

7. PreparedStatement查询默认返回FORWARD_ONLY的ResultSet，你只能往一个方向移动结果集的游标。当然你还可以设定为其他类型的值如：”CONCUR_READ_ONLY”。

8. 不支持预编译SQL查询的JDBC驱动，在调用connection.prepareStatement(sql)的时候，它不会把SQL查询语句发送给数据库做预处理，
　　而是等到执行查询动作的时候（调用executeQuery()方法时）才把查询语句发送个数据库，这种情况和使用Statement是一样的。

9. 占位符的索引位置从1开始而不是0，如果填入0会导致*java.sql.SQLException invalid column index*异常。
   所以如果PreparedStatement有两个占位符，那么第一个参数的索引时1，第二个参数的索引是2.

巴特西