爲了鞏固知識點，方便自己記住，特意寫了這一篇，若不足之處請指正，謝謝！
JDBC的回顧
1 什麼是JDBC
JDBC（Java DataBase Connectivity）就是Java數據庫連接，說白了就是用Java語言來操作數據庫。原來我們操作數據庫是在控制檯使用SQL語句來操作數據庫，JDBC是用Java語言向數據庫發送SQL語句。
2 JDBC原理
早期SUN公司的天才們想編寫一套可以連接天下所有數據庫的API，但是當他們剛剛開始時就發現這是不可完成的任務，因爲各個廠商的數據庫服務器差異太大了。後來SUN開始與數據庫廠商們討論，最終得出的結論是，由SUN提供一套訪問數據庫的規範（就是一組接口），並提供連接數據庫的協議標準，然後各個數據庫廠商會遵循SUN的規範提供一套訪問自己公司的數據庫服務器的API出現。SUN提供的規範命名爲JDBC，而各個廠商提供的，遵循了JDBC規範的，可以訪問自己數據庫的API被稱之爲驅動！
JDBC是接口，而JDBC驅動纔是接口的實現，沒有驅動無法完成數據庫連接！每個數據庫廠商都有自己的驅動，用來連接自己公司的數據庫。
當然還有第三方公司專門爲某一數據庫提供驅動，這樣的驅動往往不是開源免費的！
3 JDBC核心類（接口）介紹
JDBC中的核心類有：DriverManager、Connection、Statement，和ResultSet！
DriverManger（驅動管理器）的作用有兩個：
l- 註冊驅動：這可以讓JDBC知道要使用的是哪個驅動；
l- 獲取Connection：如果可以獲取到Connection，那麼說明已經與數據庫連接上了。
Connection對象表示連接，與數據庫的通訊都是通過這個對象展開的：
l- Connection最爲重要的一個方法就是用來獲取Statement對象；
l- Statement是用來向數據庫發送SQL語句的，這樣數據庫就會執行發送過來的SQL語句
l- void executeUpdate(String sql)：執行更新操作（insert、update、delete等）；
l ResultSet executeQuery(String sql)：執行查詢操作，數據庫在執行查詢後會把查詢結果，查詢結果就是ResultSet；
ResultSet對象表示查詢結果集，只有在執行查詢操作後纔會有結果集的產生。結果集是一個二維的表格，有行有列。操作結果集要學習移動ResultSet內部的“行光標”，以及獲取當前行上的每一列上的數據：
l- boolean next()：使“行光標”移動到下一行，並返回移動後的行是否存在；
l- XXX getXXX(int col)：獲取當前行指定列上的值，參數就是列數，列數從1開始，而不是0。
4 Hello JDBC
(下面開始編寫第一個JDBC程序
介紹eclipse的相關知識
單元測試junit)
4.1 導入mysql數據庫的驅動jar包：
mysql-connector-java-5.1.39-bin.jar；
4.2 註冊驅動
看清楚了，註冊驅動就只有一句話：Class.forName(“com.mysql.jdbc.Driver”)，下面的內容都是對這句代碼的解釋。今後我們的代碼中，與註冊驅動相關的代碼只有這一句。
DriverManager類的registerDriver()方法的參數是java.sql.Driver，但java.sql.Driver是一個接口，實現類由mysql驅動來提供，mysql驅動中的java.sql.Driver接口的實現類爲com.mysql.jdbc.Driver！那麼註冊驅動的代碼如下：DriverManager.registerDriver(new com.mysql.jdbc.Driver());
上面代碼雖然可以註冊驅動，但是出現硬編碼（代碼依賴mysql驅動jar包），如果將來想連接Oracle數據庫，那麼必須要修改代碼的。並且其實這種註冊驅動的方式是註冊了兩次驅動！
JDBC中規定，驅動類在被加載時，需要自己“主動”把自己註冊到DriverManger中，下面我們來看看com.mysql.jdbc.Driver類的源代碼：
com.mysql.jdbc.Driver.java
public class Driver extends NonRegisteringDriver implements java.sql.Driver { static { try { java.sql.DriverManager.registerDriver(new Driver()); } catch (SQLException E) { throw new RuntimeException("Can't register driver!"); } } …… } |
com.mysql.jdbc.Driver類中的static塊會創建本類對象，並註冊到DriverManager中。這說明只要去加載com.mysql.jdbc.Driver類，那麼就會執行這個static塊，從而也就會把com.mysql.jdbc.Driver註冊到DriverManager中，所以可以把註冊驅動類的代碼修改爲加載驅動類。
Class.forName(“com.mysql.jdbc.Driver”);
4.3 獲取連接
獲取連接需要兩步，一是使用DriverManager來註冊驅動，二是使用DriverManager來獲取Connection對象。
獲取連接的也只有一句代碼：
DriverManager.getConnection(url,username,password)，其中username和password是登錄數據庫的用戶名和密碼
url查對複雜一點，它是用來找到要連接數據庫“網址”，就好比你要瀏覽器中查找百度時，也需要提供一個url。下面是mysql的url：
jdbc:mysql://localhost:3306/mydb1
JDBC規定url的格式由三部分組成，每個部分中間使用冒號分隔。
l- 第一部分是jdbc，這是固定的；
l- 第二部分是數據庫名稱，那麼連接mysql數據庫，第二部分當然是mysql了；
l- 第三部分是由數據庫廠商規定的，我們需要了解每個數據庫廠商的要求，mysql的第三部分分別由數據庫服務器的IP地址（localhost）、端口號（3306），以及DATABASE名稱(mydb1)組成。
下面是獲取連接的語句：
Connection con=DriverManager.getConnection(“jdbc:mysql://localhost:3306/web08”,”root”,”root”);
還可以在url中提供參數：
jdbc:mysql://localhost:3306/web08?useUnicode=true&characterEncoding=UTF8
其中，useUnicode參數指定這個連接數據庫的過程中，使用的字節集是Unicode字節集；characherEncoding參數指定穿上連接數據庫的過程中，使用的字節集編碼爲UTF-8編碼。請注意，mysql中指定UTF-8編碼是給出的是UTF8，而不是UTF-8。要小心了！
4.4 獲取Statement
在得到Connectoin之後，說明已經與數據庫連接上了，下面是通過Connection獲取Statement對象的代碼：
Statement stmt =con.createStatement();
Statement是用來向數據庫發送要執行的SQL語句的！
4.5 發送SQL查詢語句
String sql =“select * from user”;
ResultSet rs =stmt.executeQuery(sql);
請注意，執行查詢使用的不是executeUpdate()方法，而是executeQuery()方法。executeQuery()方法返回的是ResultSet，ResultSet封裝了查詢結果，我們稱之爲結果集。
4.6 讀取結果集中的數據
ResultSet就是一張二維的表格，它內部有一個“行光標”，光標默認的位置在“第一行上方”，我們可以調用rs對象的next()方法把“行光標”向下移動一行，當第一次調用next()方法時，“行光標”就到了第一行記錄的位置，這時就可以使用ResultSet提供的getXXX(int col)方法來獲取指定列的數據了：
rs.next();//光標移動到第一行
rs.getInt(1);//獲取第一行第一列的數據
當你使用rs.getInt(1)方法時，你必須可以肯定第1列的數據類型就是int類型，如果你不能肯定，那麼最好使用rs.getObject(1)。在ResultSet類中提供了一系列的getXXX()方法，比較常用的方法有：
ObjectgetObject(int col)
StringgetString(int col)
int getInt(intcol)
doublegetDouble(int col)
4.7 關閉
與IO流一樣，使用後的東西都需要關閉！關閉的順序是先得到的後關閉，後得到的先關閉。
rs.close();
stmt.close();
con.close();
4.8 完成查詢操作代碼
public static Connection getConnection() throws Exception { Class.forName("com.mysql.jdbc.Driver"); String url = "jdbc:mysql://localhost:3306/web08"; return DriverManager.getConnection(url, "root", "root"); } |
@Test public void query() throws Exception { Connection con = getConnection(); Statement stmt = con.createStatement(); String sql = "select * from user"; ResultSet rs = stmt.executeQuery(sql); while(rs.next()) { String username = rs.getString(1); String password = rs.getString(2); System.out.println(username + ", " + password); } } |
4.9 規範化代碼
所謂規範化代碼就是無論是否出現異常，都要關閉ResultSet、Statement，以及Connection，如果你還記得IO流的規範化代碼，那麼下面的代碼你就明白什麼意思了。
@Test public void query() { Connection con = null; Statement stmt = null; ResultSet rs = null; try { con = getConnection(); stmt = con.createStatement(); String sql = "select * from user"; rs = stmt.executeQuery(sql); while(rs.next()) { String username = rs.getString(1); String password = rs.getString(2); System.out.println(username + ", " + password); } } catch(Exception e) { throw new RuntimeException(e); } finally { try { if(rs != null) rs.close(); if(stmt != null) stmt.close(); if(con != null) con.close(); } catch(SQLException e) {} } } |
5 JDBC對象介紹
5.1 JDBC中的主要類（接口）
在JDBC中常用的類有：
l- DriverManager；
l- Connection；
l- Statement；
l- ResultSet。
5.2 DriverManager
其實我們今後只需要會用DriverManager的getConnection()方法即可：
1. Class.forName(“com.mysql.jdbc.Driver”);//註冊驅動
2. String url = “jdbc:mysql://localhost:3306/web08”;
3. String username = “root”;
4. String password = “root”;
5. Connection con = DriverManager.getConnection(url, username,password);
注意，上面代碼可能出現的兩種異常：
1. ClassNotFoundException：這個異常是在第1句上出現的，出現這個異常有兩個可能：
l- 你沒有給出mysql的jar包；
l- 你把類名稱打錯了，查看類名是不是com.mysql.jdbc.Driver。
2. SQLException：這個異常出現在第5句，出現這個異常就是三個參數的問題，往往username和password一般不是出錯，所以需要認真查看url是否打錯。
對於DriverManager.registerDriver()方法瞭解即可，因爲我們今後註冊驅動只會Class.forName()，而不會使用這個方法。
5.3 Connection
Connection最爲重要的方法就是獲取Statement：
l- Statement stmt = con.createStatement();
後面在學習ResultSet方法時，還要學習一下下面的方法：
l- Statement stmt = con.createStatement(int,int);
5.4 Statement
Statement最爲重要的方法是：
l- int executeUpdate(String sql)：執行更新操作，即執行insert、update、delete語句，其實這個方法也可以執行create table、alter table，以及drop table等語句，但我們很少會使用JDBC來執行這些語句；
l- ResultSet executeQuery(String sql)：執行查詢操作，執行查詢操作會返回ResultSet，即結果集。
l- boolean execute()
Statement還有一個boolean execute()方法，這個方法可以用來執行增、刪、改、查所有SQL語句。該方法返回的是boolean類型，表示SQL語句是否執行成功。
如果使用execute()方法執行的是更新語句，那麼還要調用int getUpdateCount()來獲取insert、update、delete語句所影響的行數。
如果使用execute()方法執行的是查詢語句，那麼還要調用ResultSet getResultSet()來獲取select語句的查詢結果。
5.5 ResultSet之滾動結果集（瞭解）
ResultSet表示結果集，它是一個二維的表格！ResultSet內部維護一個行光標（遊標），ResultSet提供了一系列的方法來移動遊標：
l- void beforeFirst()：把光標放到第一行的前面，這也是光標默認的位置；
l- void afterLast()：把光標放到最後一行的後面；
l- boolean first()：把光標放到第一行的位置上，返回值表示調控光標是否成功；
l- boolean last()：把光標放到最後一行的位置上；
l- boolean isBeforeFirst()：當前光標位置是否在第一行前面；
l- boolean isAfterLast()：當前光標位置是否在最後一行的後面；
l- boolean isFirst()：當前光標位置是否在第一行上；
l- boolean isLast()：當前光標位置是否在最後一行上；
l- boolean previous()：把光標向上挪一行；
l- boolean next()：把光標向下挪一行；
l- boolean relative(int row)：相對位移，當row爲正數時，表示向下移動row行，爲負數時表示向上移動row行；
l- boolean absolute(int row)：絕對位移，把光標移動到指定的行上；
l- int getRow()：返回當前光標所有行。
上面方法分爲兩類，一類用來判斷遊標位置的，另一類是用來移動遊標的。如果結果集是不可滾動的，那麼只能使用next()方法來移動遊標，而beforeFirst()、afterLast()、first()、last()、previous()、relative()方法都不能使用！！！
結果集是否支持滾動，要從Connection類的createStatement()方法說起。也就是說創建的Statement決定了使用Statement創建的ResultSet是否支持滾動。
StatementcreateStatement(int resultSetType, int resultSetConcurrency)
resultSetType的可選值：
l- ResultSet.TYPE_FORWARD_ONLY：不滾動結果集；
l- ResultSet.TYPE_SCROLL_INSENSITIVE：滾動結果集，但結果集數據不會再跟隨數據庫而變化；
l- ResultSet.TYPE_SCROLL_SENSITIVE：滾動結果集，但結果集數據不會再跟隨數據庫而變化；
可以看出，如果想使用滾動的結果集，我們應該選擇TYPE_SCROLL_INSENSITIVE！其實很少有數據庫驅動會支持TYPE_SCROLL_SENSITIVE的特性！通常我們也不需要查詢到的結果集再受到數據庫變化的影響。
resultSetConcurrency的可選值：
l- CONCUR_READ_ONLY：結果集是隻讀的，不能通過修改結果集而反向影響數據庫；
l- CONCUR_UPDATABLE：結果集是可更新的，對結果集的更新可以反向影響數據庫。
通常可更新結果集這一“高級特性”我們也是不需要的！獲取滾動結果集的代碼如下：
Connection con= …
Statement stmt= con.createStatement(ResultSet.TYPE_SCROLL_INSENSITIVE, CONCUR_READ_ONLY);
String sql =…//查詢語句
ResultSet rs =stmt.executeQuery(sql);//這個結果集是可滾動的
5.6 ResultSet之獲取列數據
可以通過next()方法使ResultSet的遊標向下移動，當遊標移動到你需要的行時，就需要來獲取該行的數據了，ResultSet提供了一系列的獲取列數據的方法：
l- String getString(int columnIndex)：獲取指定列的String類型數據；
l- int getInt(int columnIndex)：獲取指定列的int類型數據；
l- double getDouble(int columnIndex)：獲取指定列的double類型數據；
l- boolean getBoolean(int columnIndex)：獲取指定列的boolean類型數據；
l- Object getObject(int columnIndex)：獲取指定列的Object類型的數據。
上面方法中，參數columnIndex表示列的索引，列索引從1開始，而不是0，這第一點與數組不同。如果你清楚當前列的數據類型，那麼可以使用getInt()之類的方法來獲取，如果你不清楚列的類型，那麼你應該使用getObject()方法來獲取。
ResultSet還提供了一套通過列名稱來獲取列數據的方法：
l- String getString(String columnName)：獲取名稱爲columnName的列的String數據；
l- int getInt(String columnName)：獲取名稱爲columnName的列的int數據；
l- double getDouble(String columnName)：獲取名稱爲columnName的列的double數據；
l- boolean getBoolean(String columnName)：獲取名稱爲columnName的列的boolean數據；
l- Object getObject(String columnName)：獲取名稱爲columnName的列的Object數據；
6 PreparedStatement
6.1 什麼是SQL攻擊
在需要用戶輸入的地方，用戶輸入的是SQL語句的片段，最終用戶輸入的SQL片段與我們DAO中寫的SQL語句合成一個完整的SQL語句！例如用戶在登錄時輸入的用戶名和密碼都是爲SQL語句的片段！
6.2 演示SQL攻擊
首先我們需要創建一張用戶表，用來存儲用戶的信息。
CREATE TABLE user( uid CHAR(32) PRIMARY KEY, username VARCHAR(30) UNIQUE KEY NOT NULL, PASSWORD VARCHAR(30) );
INSERT INTO user VALUES('U_1001', 'zs', 'zs'); SELECT * FROM user; |
現在用戶表中只有一行記錄，就是zs。
下面我們寫一個login()方法！
public void login(String username, String password) { Connection con = null; Statement stmt = null; ResultSet rs = null; try { con = JdbcUtils.getConnection(); stmt = con.createStatement(); String sql = "SELECT * FROM user WHERE " + "username='" + username + "' and password='" + password + "'"; rs = stmt.executeQuery(sql); if(rs.next()) { System.out.println("歡迎" + rs.getString("username")); } else { System.out.println("用戶名或密碼錯誤！"); } } catch (Exception e) { throw new RuntimeException(e); } finally { JdbcUtils.close(con, stmt, rs); } } |
下面是調用這個方法的代碼：
login("a' or 'a'='a", "a' or 'a'='a"); |
這行當前會使我們登錄成功！因爲是輸入的用戶名和密碼是SQL語句片段，最終與我們的login()方法中的SQL語句組合在一起！我們來看看組合在一起的SQL語句：
SELECT * FROM tab_user WHERE username='a' or 'a'='a' and password='a' or 'a'='a' |
6.3 防止SQL攻擊
l- 過濾用戶輸入的數據中是否包含非法字符；
l- 分步校驗！先使用用戶名來查詢用戶，如果查找到了，再比較密碼；
l- 使用PreparedStatement。
6.4 PreparedStatement是什麼？
PreparedStatement叫預編譯聲明！
PreparedStatement是Statement的子接口，你可以使用PreparedStatement來替換Statement。
PreparedStatement的好處：
l- 防止SQL攻擊；
l- 提高代碼的可讀性，以可維護性；
l- 提高效率。
6.5 PreparedStatement的使用
l- 使用Connection的prepareStatement(Stringsql)：即創建它時就讓它與一條SQL模板綁定；
l- 調用PreparedStatement的setXXX()系列方法爲問號設置值
l- 調用executeUpdate()或executeQuery()方法，但要注意，調用沒有參數的方法；
String sql = “select * from tab_student where s_number=?”; PreparedStatement pstmt = con.prepareStatement(sql); pstmt.setString(1, “S_1001”); ResultSet rs = pstmt.executeQuery(); rs.close(); pstmt.clearParameters(); pstmt.setString(1, “S_1002”); rs = pstmt.executeQuery(); |
在使用Connection創建PreparedStatement對象時需要給出一個SQL模板，所謂SQL模板就是有“?”的SQL語句，其中“?”就是參數。
在得到PreparedStatement對象後，調用它的setXXX()方法爲“?”賦值，這樣就可以得到把模板變成一條完整的SQL語句，然後再調用PreparedStatement對象的executeQuery()方法獲取ResultSet對象。
注意PreparedStatement對象獨有的executeQuery()方法是沒有參數的，而Statement的executeQuery()是需要參數（SQL語句）的。因爲在創建PreparedStatement對象時已經讓它與一條SQL模板綁定在一起了，所以在調用它的executeQuery()和executeUpdate()方法時就不再需要參數了。
PreparedStatement最大的好處就是在於重複使用同一模板，給予其不同的參數來重複的使用它。這纔是真正提高效率的原因。
所以，建議大家在今後的開發中，無論什麼情況，都去需要PreparedStatement，而不是使用Statement。