電子發燒友App
為什么要使用占位符“？”
看一下第5點，大家一定注意到了，寫sql語句的時候用了“？”占位符，當然有美化代碼的因素，不用占位符就要在括號里寫“+”來拼接參數，如果要拼接的參數一多，代碼肯定不好看，可讀性不強。但是除了這個原因，還有另外一個重要的原因，就是避免一個安全問題。假設我們不用占位符寫sql語句，那“querySomeStudents（String name） throws Exception”方法就要這么寫：
public List
{
List
Connection connection = DBConnection.mysqlConnection;
PreparedStatement ps = connection.prepareStatement（“select * from student where studentName = ‘” + studentName + “’”）;
ResultSet rs = ps.executeQuery（）;
Student student = null;
while （rs.next（））
{
student = new Student（rs.getInt（1）， rs.getString（2）， rs.getInt（3）， rs.getString（4））;
studentList.add（student）;
}
ps.close（）;
rs.close（）;
return studentList;
}
上面的main函數一樣可以獲取到兩條數據，但是問題來了，如果我這么調用呢：
public static void main（String［］ args） throws Exception
{
List
studentList = StudentManager.getInstance（）.querySomeStudents（“‘ or ’1‘ = ’1”）;
for （Student student ： studentList）
System.out.println（student）;
}
看下運行結果：
studentId = 1， studentName = Betty， studentAge = 20， studentPhone = 00000000
studentId = 2， studentName = Jerry， studentAge = 18， studentPhone = 11111111
studentId = 3， studentName = Betty， studentAge = 21， studentPhone = 22222222
studentId = 4， studentName = Steve， studentAge = 27， studentPhone = 33333333
studentId = 5， studentName = James， studentAge = 22， studentPhone = 44444444
為什么？看下拼接之后的sql語句就知道了：
select * from student where studentName = ‘’ or ‘1’ = ‘1’‘1’=‘1’永遠成立，所以前面的查詢條件是什么都沒用。這種問題是有應用場景的，不是隨便寫一下。Java越來越多的用在Web上，既然是Web，那么查詢的時候有一種情況就是用戶輸入一個條件，后臺獲取到查詢條件，拼接sql語句查數據庫，有經驗的用戶完全可以輸入一個“‘‘’ or ‘1’ = ‘1”，這樣就拿到了庫里面的所有數據了。
JDBC事物
談數據庫必然離不開事物，事物簡單說就是“要么一起成功，要么一起失敗”。那簡單往前面的StudentManager里面寫一個插入學生信息的方法：
public void addStudent（String studentName， int studentAge， String studentPhone） throws Exception
{
Connection connection = DBConnection.mysqlConnection;
PreparedStatement ps = connection.prepareStatement（“insert into student values（null，？，？，？）”）;
ps.setString（1， studentName）;
ps.setInt（2， studentAge）;
ps.setString（3， studentPhone）;
if （ps.executeUpdate（） > 0）
System.out.println（“添加學生信息成功”）;
else
System.out.println（“添加學生信息失敗”）;
}
public static void main（String［］ args） throws Exception
{
StudentManager.getInstance（）.addStudent（“Betty”， 17， “55555555”）;
}
運行就不運行了，反正最后結果是“添加學生信息成功”，數據庫里面多了一條數據。注意一下：
1、增刪改用的是executeUpdate（）方法，因為增刪改認為都是對數據庫的更新
2、查詢用的是executeQuery（）方法，看名字就知道了“Query”，查詢嘛
可能有人注意到一個問題，就是Java代碼在insert后并沒有對事物進行commit，數據就添加進數據庫了，也能查出來，這是為什么呢？因為JDK的Connection設置了事物的自動提交。如果在addStudent（。..）方法里面這么寫：
Connection connection = DBConnection.mysqlConnection;
connection.setAutoCommit（false）;
autoCommit這個屬性原來是true，JDK自然會幫助開發者自動提交事物了。OK，如果要改成手動提交事物的代碼，那么應該這么寫addStudent（。..）方法：
public void addStudent（String studentName， int studentAge， String studentPhone） throws Exception
{
Connection connection = DBConnection.mysqlConnection;
connection.setAutoCommit（false）;
PreparedStatement ps = connection.prepareStatement（“insert into student values（null，？，？，？）”）;
ps.setString（1， studentName）;
ps.setInt（2， studentAge）;
ps.setString（3， studentPhone）;
try
{
ps.executeUpdate（）;
connection.commit（）;
}
catch （Exception e）
{
e.printStackTrace（）;
connection.rollback（）;
}
}
要記得拋異常的時候利用rollback（）方法回滾掉事物。
以上就是本文的全部內容，希望本文的內容對大家的學習或者工作能帶來一定的幫助。
工商網監
評論