德赢Vwin官网 App
为什么要使用占位符“？”
看一下第5点，大家一定注意到了，写sql语句的时候用了“？”占位符，当然有美化代码的因素，不用占位符就要在括号里写“+”来拼接参数，如果要拼接的参数一多，代码肯定不好看，可读性不强。但是除了这个原因，还有另外一个重要的原因，就是避免一个安全问题。假设我们不用占位符写sql语句，那“querySomeStudents（String name） throws Exception”方法就要这么写：
public List
{
List
Connection connection = DBConnection.mysqlConnection;
PreparedStatement ps = connection.prepareStatement（“select * from student where studentName = ‘” + studentName + “’”）;
ResultSet rs = ps.executeQuery（）;
Student student = null;
while （rs.next（））
{
student = new Student（rs.getInt（1）， rs.getString（2）， rs.getInt（3）， rs.getString（4））;
studentList.add（student）;
}
ps.close（）;
rs.close（）;
return studentList;
}
上面的main函数一样可以获取到两条数据，但是问题来了，如果我这么调用呢：
public static void main（String［］ args） throws Exception
{
List
studentList = StudentManager.getInstance（）.querySomeStudents（“‘ or ’1‘ = ’1”）;
for （Student student ： studentList）
System.out.println（student）;
}
看下运行结果：
studentId = 1， studentName = Betty， studentAge = 20， studentPhone = 00000000
studentId = 2， studentName = Jerry， studentAge = 18， studentPhone = 11111111
studentId = 3， studentName = Betty， studentAge = 21， studentPhone = 22222222
studentId = 4， studentName = Steve， studentAge = 27， studentPhone = 33333333
studentId = 5， studentName = James， studentAge = 22， studentPhone = 44444444
为什么？看下拼接之后的sql语句就知道了：
select * from student where studentName = ‘’ or ‘1’ = ‘1’‘1’=‘1’永远成立，所以前面的查询条件是什么都没用。这种问题是有应用场景的，不是随便写一下。Java越来越多的用在Web上，既然是Web，那么查询的时候有一种情况就是用户输入一个条件，后台获取到查询条件，拼接sql语句查数据库，有经验的用户完全可以输入一个“‘‘’ or ‘1’ = ‘1”，这样就拿到了库里面的所有数据了。
JDBC事物
谈数据库必然离不开事物，事物简单说就是“要么一起成功，要么一起失败”。那简单往前面的StudentManager里面写一个插入学生信息的方法：
public void addStudent（String studentName， int studentAge， String studentPhone） throws Exception
{
Connection connection = DBConnection.mysqlConnection;
PreparedStatement ps = connection.prepareStatement（“insert into student values（null，？，？，？）”）;
ps.setString（1， studentName）;
ps.setInt（2， studentAge）;
ps.setString（3， studentPhone）;
if （ps.executeUpdate（） > 0）
System.out.println（“添加学生信息成功”）;
else
System.out.println（“添加学生信息失败”）;
}
public static void main（String［］ args） throws Exception
{
StudentManager.getInstance（）.addStudent（“Betty”， 17， “55555555”）;
}
运行就不运行了，反正最后结果是“添加学生信息成功”，数据库里面多了一条数据。注意一下：
1、增删改用的是executeUpdate（）方法，因为增删改认为都是对数据库的更新
2、查询用的是executeQuery（）方法，看名字就知道了“Query”，查询嘛
可能有人注意到一个问题，就是Java代码在insert后并没有对事物进行commit，数据就添加进数据库了，也能查出来，这是为什么呢？因为JDK的Connection设置了事物的自动提交。如果在addStudent（。..）方法里面这么写：
Connection connection = DBConnection.mysqlConnection;
connection.setAutoCommit（false）;
autoCommit这个属性原来是true，JDK自然会帮助开发者自动提交事物了。OK，如果要改成手动提交事物的代码，那么应该这么写addStudent（。..）方法：
public void addStudent（String studentName， int studentAge， String studentPhone） throws Exception
{
Connection connection = DBConnection.mysqlConnection;
connection.setAutoCommit（false）;
PreparedStatement ps = connection.prepareStatement（“insert into student values（null，？，？，？）”）;
ps.setString（1， studentName）;
ps.setInt（2， studentAge）;
ps.setString（3， studentPhone）;
try
{
ps.executeUpdate（）;
connection.commit（）;
}
catch （Exception e）
{
e.printStackTrace（）;
connection.rollback（）;
}
}
要记得抛异常的时候利用rollback（）方法回滚掉事物。
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助。
工商网监
评论