03010_防止SQL注入

1、预处理对象

　　（1）使用PreparedStatement预处理对象时，建议每条sql语句所有的实际参数，都使用逗号分隔；

String sql = "insert into sort(sid,sname) values(?,?)";;
PreparedStatement预处理对象代码：
PreparedStatement psmt = conn.prepareStatement(sql)

　　（2）执行SQL语句

int executeUpdate(); --执行insert update delete语句.
ResultSet executeQuery(); --执行select语句.
boolean execute(); --执行select返回true 执行其他的语句返回false

　　（3）设置实际参数

　　　　①void setXxx(int index, Xxx xx) 将指定参数设置为给定Java的xx值。在将此值发送到数据库时，驱动程序将它转换成一个 SQL Xxx类型值；

setString(2, "家用电器") 把SQL语句中第2个位置的占位符？ 替换成实际参数 "家用电器"

　　（4）代码演示

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.util.Scanner;

public class JDBCDemo3 {
    public static void main(String[] args) throws Exception {
        Class.forName("com.mysql.jdbc.Driver");
        String url = "jdbc:mysql://localhost:3306/mybase";
        String username = "root";
        String password = "root";
        Connection con = DriverManager.getConnection(url, username, password);
        Scanner sc = new Scanner(System.in);
        String user = sc.nextLine();
        String pass = sc.nextLine();

        // 执行SQL语句,数据表,查询用户名和密码,如果存在,登录成功,不存在登录失败
        String sql = "SELECT * FROM users WHERE username=? AND PASSWORD=?";
        // 调用Connection接口的方法prepareStatement,获取PrepareStatement接口的实现类
        // 方法中参数,SQL语句中的参数全部采用问号占位符
        PreparedStatement pst = con.prepareStatement(sql);
        System.out.println(pst);
        // 调用pst对象set方法,设置问号占位符上的参数
        pst.setObject(1, user);
        pst.setObject(2, pass);

        // 调用方法,执行SQL,获取结果集
        ResultSet rs = pst.executeQuery();
        while (rs.next()) {
            System.out.println(rs.getString("username") + "   "
                    + rs.getString("password"));
        }

        rs.close();
        pst.close();
        con.close();
    }
}