学习记录07 --- 升级DBTools，防止SQL注入

今天上午才了解到我之前写的DBTools会导致sql注入，所以今天来升级下这个DBTools

这次我们连接数据库就不用一个方法了，直接在static里面完成

//创建一个静态代码块连接数据库
    static {
        try {
            //导入驱动类
            Class.forName("com.mysql.jdbc.Driver");
            //创建连接对象
            conn = DriverManager.getConnection(url,user,pwd);
        } catch (ClassNotFoundException | SQLException e) {
            e.printStackTrace();
        }
    }

这样在程序执行的时候就连接了数据库，不需要再调用一个方法了

那么先来重写查询的方法，我们原本的方法是这样的

//数据库查询操作
    public static ResultSet executeQuery(String sql) throws Exception {
        //调用连接数据库方法连接数据库
        connetcDatabase();
        //创建命令行
        stt = conn.createStatement();
        //执行sql语句
        ResultSet result = stt.executeQuery(sql);
        //返回操作结果
        return result;
    }

如果按照以上方式写，使用Statement对象，很容易导致SQL注入，我们就可以这样写

//数据库查询操作
    public static ResultSet executeQuery(String sql) throws Exception {
        //创建命令行
        PreparedStatement ppt = conn.prepareStatement(sql);
        //执行sql语句
        ResultSet result = ppt.executeQuery();
        //返回操作结果
        return result;
    }

那使用预编译的Statement可以防止sql注入，因为这个是把值当作参数传给sql语句

也就是说我们需要传值的地方写个?   然后使用setObject等等方式来进行传值

但是这里有个问题，我们不知道会有多少个参数，那就需要可变参数来完成，然后用for循环遍历

//数据库查询操作
    public static ResultSet executeQuery(String sql,Object ... objs) throws Exception {
        //创建预编译的Statement
        PreparedStatement ppt = conn.prepareStatement(sql);
        //遍历传值
        for(int i=0;i<objs.length;i++){
            ppt.setObject(i+1,objs[i]);
        }
        //执行sql语句
        ResultSet result = ppt.executeQuery();
        //返回操作结果
        return result;
    }

但是这还有个问题，因为查询全部的话，就不需要传参数过来，那么objs为null就会报异常

那么我们需要在for的条件判断再加一个

//遍历传值
        for(int i=0;objs!=null&&i<objs.length;i++){
            ppt.setObject(i+1,objs[i]);
        }

那么这样就解决了这个问题，那么增删改的也是一样，复制过去

//数据库增删改操作
    public static int executeUpdate(String sql,Object ... objs) throws Exception {
        //创建预编译的Statement
        PreparedStatement ppt = conn.prepareStatement(sql);
        //遍历传值
        for(int i=0;objs!=null&&i<objs.length;i++){
            ppt.setObject(i+1,objs[i]);
        }
        //执行sql语句
        int line = ppt.executeUpdate();
        //返回操作结果
        return line;
    }

然后我们会发现，里面的for循环一模一样，那么我们可以把这个单独封装成一个方法

//获取PreparedStatement对象
    public static PreparedStatement getPreparedStatement(String sql,Object ... objs) throws Exception {
        //创建预编译的Statement
        PreparedStatement ppt = conn.prepareStatement(sql);
        //遍历传值
        for(int i=0;objs!=null&&i<objs.length;i++){
            ppt.setObject(i+1,objs[i]);
        }
        //返回PreparedStatement对象
        return ppt;
    }

那么这么封装以后，我们的查询和增删改的方法就可以简短一些

然后关闭连接的方法依旧是关闭连接的方法，不变

//关闭数据库连接
    public static void closeConnection() throws Exception {
        //关闭数据库连接
        conn.close();
    }

那么这个DBTools就修改完成了，但是进行测试的时候发现出了问题，进行第一次数据库操作会把数据库给关闭连接了

所以我们不能把数据库连接写在静态代码块中了，只能写一个方法了

//创建一个方法连接数据库
    public static void getConnection() throws Exception {
        //创建连接对象
        conn = DriverManager.getConnection(url,user,pwd);
    }

那么我们在getPreparedStatement这个方法中调用就OK了