jdbc java数据库连接 8）防止sql注入

回顾下之前jdbc的开发步骤：

　　1：建项目，引入数据库驱动包

　　2：加载驱动

　　　　Class.forName(..);

　　3：获取连接对象

　　4：创建执行sql语句的stmt对象;  写sql

　　5：执行sql

　　　　a) 更新    delete/insert/update

　　　　　　！：executeUpdate();       

　　　　b) 查询    select　　

　　　　　　！：executeQuery();

　　6：关闭/异常

之前有说过，Statement接口和PreparedStatement接口的区别，其中的一个就是：

　　PreparedStatement接口能够防止sql注入

那么，什么是sql注入呢？

　　其实sql注入就是用户输入的恶意密码，能够绕过你的用户名和密码登陆。

例子：

　　1：首先创建个数据库

-- 创建数据库
CREATE DATABASE jdbc_demo DEFAULT CHARACTER SET utf8;i
-- 创建表
USE jdbc_demo;
CREATE TABLE admin(
    id INT PRIMARY KEY AUTO_INCREMENT,
    userName VARCHAR(20),
    pwd VARCHAR(20)
)

　　

　　2：使用Statement接口，没有防止sql注入：

/**
 * 模拟用户登陆数据库，演示注入
 * 
 * @author LLZ
 */
public class Two_StatementDemo {

    /**
     * 1：sql注入 Statement
     */

    private Connection conn;
    private Statement stsm;
    private ResultSet rs;
    private PreparedStatement pstsm;

    @Test
    public void Test1() {

        String user = "tom";
        // String password = "123";
        String password = " ' or 1=1 -- /**/ "; // sql注入，这个也可以登陆成功

        try {
            // 1.1：加载驱动
            conn = Jdbcutil.getConnection();

            // 1.3：创建Statement对象
            stsm = conn.createStatement();

            // 1.4：准备sql语句
            String sql = "select * from jdbc where user='" + user
                    + "'  and password='" + password + "' ";

            // 1.5：执行sql
            rs = stsm.executeQuery(sql);

            // 1.6：打印返回的结果
            if (rs.next()) {
                System.out.println(rs.getInt("id"));
            }
        } catch (Exception e) {
            e.printStackTrace();

        } finally {
            // 1.7：关闭连接
            try {
                rs.close();
                stsm.close();
                conn.close();
            } catch (Exception e) {

                e.printStackTrace();
            }
        }
    }

　　3：使用PreparedStatement接口，防止sql注入：

其原因就是由于该接口具有缓存区，需要先执行预编译远，等传入参数才正式执行sql语言

/**
     * 二：用PreparedStatement防止sql注入
     */
    @Test
    public void Test2() {

        String user = "tom";
        String password = "123";
        // String password = " ' or 1=1 -- /**/ "; // sql注入，这个在这里就无法登陆
        // 准备sql预编译语句
        String sql = "select * from jdbc where user=? and password=?";

        try {
            // 2.1：创建连接
            conn = Jdbcutil.getConnection();

            // 2.2：创建PerparedStatement对象(执行预编译)
            pstsm = conn.prepareStatement(sql);

            // 2.3：准备参数
            pstsm.setString(1, user);
            pstsm.setString(2, password);

            // 2.4：发送参数，执行sql
            ResultSet rs = pstsm.executeQuery();
            if (rs.next()) {
                System.out.println(rs.getInt("id"));
            }
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            // 2.5：关闭连接
            Jdbcutil.close(conn, pstsm, rs);
        }

    }