JDBC占位符

占位符的使用

Statement 接口的两个问题:
　　第一个问题: 使用 Statement 接口 对象发送的 sql 语句需要再数据库进行一次编译之后成为指令才能执行,
　　　　　　      每条 sql 语句都需要编译一次, 这样是很慢的.
　　第二个问题: 使用 Statement 接口 操作的 sql 语句需要使用字符串的拼接方式实现,
　　　　　　　   这样的方式可能存在 sql 注入的安全风险并且拼接字符串比较麻烦.

对比 Statement 接口, PreparedStatement 接口的优点:
　　1.使用该接口操作的 sql 语句会先预先编译成指令在发送给数据库, 数据库就执行指令即可, 这样就提高了一定速度,
　　2.该接口可以避开 sql 需要使用字符串拼接的方式, 从而解决 sql 注入的安全风险,
　　而是使用 占位符 (?) 来代替原来的字符串拼接.

Demo:实现无密码登录
不使用 sql 字符串拼接, 而是使用占位符来实现

public class TestMysql1 {
    //取得连接
    private static Connection conn =ConnectionUitl.getConnection();
    
    public static void main(String[] args) {
        selectLogin("smith","1234");
    }
    /**
     *     实现登录
     * @param name    用户名
     * @param password    密码
     * @return
     */
    public static boolean selectLogin(String name, String password) {
        String sql = "SELECT * FROM myuser WHERE username=? AND password=?";
        System.out.println(sql);
        
        try {
            PreparedStatement pst = conn.prepareStatement(sql);
            //为占位符设置具体内容
            pst.setString(1, name);
            pst.setString(2, password);
            //发送 sql 语句
            ResultSet rst = pst.executeQuery();
            if (rst.next()) {
                System.out.println("登录成功!");
            } else {
                System.out.println("用户名或密码错误!");
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
        return false;
    }
}

Demo: 插入数据 (使用占位符)

public class TestMysql2 {
    //取得连接
    private static Connection conn =ConnectionUitl.getConnection();
    
    public static void main(String[] args) {
        Emp emp = new Emp();
        emp.setEmpno(1009);
        emp.setEname("李四");
        emp.setJob("职员");
        emp.setMgr(8965);
        emp.setSal(10.00);
        emp.setComm(900.0);
        emp.setHiredate(new Date());
        emp.setDeptno(40);
        System.out.println(insertEmp(emp));
    }
    /**
     *     插入雇员信息的方法
     * @return
     */
    public static int insertEmp(Emp emp) {
        //定义出 sql 语句
        String sql = "INSERT INTO emp(empno,ename,job,sal,hiredate,mgr,comm,deptno)"
                +" VALUES(?,?,?,?,?,?,?,?)";
        
        try {
            //使用连接对象取得发送 sql 语句的对象 (PreparedStatement 接口对象)
            PreparedStatement pst = conn.prepareStatement(sql);
            //设置占位符的内容
            pst.setInt(1, emp.getEmpno());
            pst.setString(2,emp.getEname());
            pst.setString(3,emp.getJob());
            pst.setDouble(4,emp.getSal());
            pst.setDate(5,new java.sql.Date(emp.getHiredate().getTime()));
            pst.setInt(6,emp.getMgr());
            pst.setDouble(7,emp.getComm());
            pst.setInt(8,emp.getDeptno());
            //执行 sql 语句
            return pst.executeUpdate();
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            ConnectionUitl.close(conn);
        }
        return 0;
    }
}