JDBC 基础： API、SQL 注入问题，事务、连接池

一、JDBCJDBC 全称 Java DataBase Connectivity是 Java 数据库连接规范用于通过 Java 代码操作数据库JDBC 是一套接口规范实现类由各数据库厂商提供数据库驱动是厂商提供的实现类使用 MySQL 需导入 mysql-connector-java 驱动 jar 包。JDBC 核心作用是建立 Java 程序与数据库的连接实现数据增删改查操作二、JDBC 快速入门开发步骤创建数据库与数据表创建数据库create database jdbcdemo;使用数据库use jdbcdemo;创建用户表create table t_user( id int primary key auto_increment, username varchar(30), password varchar(30), email varchar(30) );插入测试数据insert into t_user values (null,aaa,123,aaa163.com); insert into t_user values (null,bbb,456,bb163.com); insert into t_user values (null,ccc,789,ccc163.com);编写 Java 代码实现查询加载驱动获取数据库连接编写 SQL 语句获取执行 SQL 的对象执行 SQL 并处理结果集释放资源查询代码import java.sql.Connection; import java.sql.DriverManager; import java.sql.ResultSet; import java.sql.Statement; public class JdbcSelectDemo { public static void main(String[] args) throws Exception { // 1.加载驱动 Class.forName(com.mysql.jdbc.Driver); // 2.获取连接 String url jdbc:mysql:///jdbcdemo; Connection conn DriverManager.getConnection(url, root, root); // 3.获取执行SQL对象 Statement stmt conn.createStatement(); // 4.编写并执行SQL String sql select * from t_user; ResultSet rs stmt.executeQuery(sql); // 5.遍历结果集 while (rs.next()) { int id rs.getInt(id); String username rs.getString(username); String password rs.getString(password); String email rs.getString(email); System.out.println(id username password email); } // 6.释放资源 rs.close(); stmt.close(); conn.close(); } }三、API一DriverManager 类作用管理 JDBC 驱动获取数据库连接。加载驱动Class.forName(com.mysql.jdbc.Driver);避免直接使用 registerDriver 方法防止驱动重复加载、降低耦合。获取连接方法static Connection getConnection(String url, String user, String password)URL 格式jdbc:mysql://localhost:3306/数据库名本地简写jdbc:mysql:///数据库名参数用户名、数据库密码DriverManager 获取连接Class.forName(com.mysql.jdbc.Driver); String url jdbc:mysql:///jdbcdemo; Connection conn DriverManager.getConnection(url, root, root);二Connection 接口作用代表数据库连接资源稀有使用后必须释放。获取执行 SQL 对象Statement createStatement()普通执行对象PreparedStatement prepareStatement(String sql)预编译执行对象防 SQL 注入事务管理setAutoCommit(boolean autoCommit)设置事务自动提交commit()提交事务rollback()回滚事务Connection 获取执行对象// 获取普通Statement Statement stmt conn.createStatement(); // 获取预编译PreparedStatement String sql select * from t_user where username?; PreparedStatement pstmt conn.prepareStatement(sql);三Statement 接口作用执行静态 SQL 语句。核心方法executeQuery(String sql)执行查询语句返回 ResultSet 结果集executeUpdate(String sql)执行增删改语句返回受影响行数支持批处理操作addBatch、clearBatch、executeBatchStatement 增删改代码// 添加 String sqlInsert insert into t_user values(null,test,123,testqq.com); int rowsInsert stmt.executeUpdate(sqlInsert); // 修改 String sqlUpdate update t_user set password888 where usernameaaa; int rowsUpdate stmt.executeUpdate(sqlUpdate); // 删除 String sqlDelete delete from t_user where id3; int rowsDelete stmt.executeUpdate(sqlDelete);四PreparedStatement 接口是 Statement 子接口支持预编译 SQL解决 SQL 注入漏洞。使用占位符替代参数SQL 先编译后传参。常用方法setXxx(参数位置, 参数值)为占位符赋值executeQuery()执行查询executeUpdate()执行增删改PreparedStatement 完整代码String sql insert into t_user values(null,?,?,?); PreparedStatement pstmt conn.prepareStatement(sql); // 设置参数 pstmt.setString(1, preUser); pstmt.setString(2, prePwd); pstmt.setString(3, preqq.com); // 执行 int rows pstmt.executeUpdate();五ResultSet 接口作用封装查询结果集以表格形式存储数据。核心方法next()向下移动游标判断是否有下一行数据getXxx(字段名/下标)获取指定字段值下标从 1 开始getObject()获取任意类型数据需自行强转ResultSet 遍历ResultSet rs stmt.executeQuery(select * from t_user); while (rs.next()) { int id rs.getInt(1); String name rs.getString(username); System.out.println(id --- name); }四、资源释放连接、执行对象、结果集使用后必须释放。释放代码放在 finally 代码块中保证一定执行。释放顺序ResultSet → Statement → Connection。释放前判断对象非空避免空指针异常。ResultSet rs null; Statement stmt null; Connection conn null; try { // 数据库操作 } catch (Exception e) { e.printStackTrace(); } finally { // 释放 if (rs ! null) { try { rs.close(); } catch (Exception e) { e.printStackTrace(); } } if (stmt ! null) { try { stmt.close(); } catch (Exception e) { e.printStackTrace(); } } if (conn ! null) { try { conn.close(); } catch (Exception e) { e.printStackTrace(); } } }五、SQL 注入问题漏洞原理拼接 SQL 语句时用户输入特殊字符改变 SQL 逻辑。典型注入语句aaa or 11、aaa -- 危害已知用户名可任意登录绕过密码验证。解决方案使用 PreparedStatement 预编译对象。SQL 注入演示// 危险字符串拼接SQL String username aaa or 11; String password 任意密码; String sql select * from t_user where username username and password password ;解决方法PreparedStatementString sql select * from t_user where username? and password?; PreparedStatement pstmt conn.prepareStatement(sql); pstmt.setString(1, username); pstmt.setString(2, password); ResultSet rs pstmt.executeQuery();六、数据库事务一事务事务是数据库操作的最小单元要么全部成功要么全部失败。典型场景银行转账扣款与加款必须同时成功或失败。事务测试表 SQLcreate table t_account( id int primary key auto_increment, username varchar(20), money double ); insert into t_account values (null,美美,10000); insert into t_account values (null,冠希,10000);二MySQL 事务操作命令行方式开启事务start transaction;执行 SQL 语句提交事务commit;回滚事务rollback;设置非自动提交关闭自动提交set autocommit off;手动执行 commit 或 rollback三JDBC 事务操作核心依赖 Connection 接口。步骤关闭自动提交conn.setAutoCommit(false);执行多个 SQL 操作正常执行conn.commit();出现异常conn.rollback();JDBC 转账事务public void transfer() { Connection conn null; PreparedStatement p1 null; PreparedStatement p2 null; try { Class.forName(com.mysql.jdbc.Driver); conn DriverManager.getConnection(jdbc:mysql:///jdbcdemo, root, root); // 开启事务 conn.setAutoCommit(false); // 冠希 -1000 String sql1 update t_account set moneymoney-1000 where username冠希; p1 conn.prepareStatement(sql1); p1.executeUpdate(); // 美美 1000 String sql2 update t_account set moneymoney1000 where username美美; p2 conn.prepareStatement(sql2); p2.executeUpdate(); // 提交 conn.commit(); System.out.println(转账成功); } catch (Exception e) { e.printStackTrace(); // 回滚 try { if (conn ! null) conn.rollback(); } catch (Exception ex) { ex.printStackTrace(); } System.out.println(转账失败); } finally { // 释放资源 try { if (p1 ! null) p1.close(); if (p2 ! null) p2.close(); if (conn ! null) conn.close(); } catch (Exception e) { e.printStackTrace(); } } }四事务四大特性ACID原子性事务不可分割全部执行或全部不执行。一致性事务执行前后数据总量保持一致。隔离性并发事务之间相互隔离不干扰。持久性事务提交后数据永久保存到数据库。五事务隔离性问题脏读读取到其他事务未提交的数据。不可重复读同一事务多次查询结果不一致针对 update 操作。幻读同一事务多次查询结果不一致针对 insert 操作。六四种隔离级别Read uncommitted最低级别无法解决任何问题。Read committed避免脏读允许不可重复读、幻读。Repeatable readMySQL 默认级别避免脏读、不可重复读允许幻读。Serializable最高级别避免所有问题性能最低。安全性Serializable Repeatable read Read committed Read uncommitted。效率Serializable Repeatable read Read committed Read uncommitted。七、数据库连接池一连接池概述解决频繁创建、销毁连接的性能损耗问题。连接可复用提升程序执行效率。核心参数初始连接数、最大连接数、最小空闲连接、最大等待时间。二DataSource 接口SUN 公司定义标准接口所有连接池必须实现。核心方法Connection getConnection()获取连接。三常用连接池DBCPApache 开源组织提供。C3P0传统开源连接池。Druid阿里巴巴开发性能、功能最优支持监控、加密等。四Druid 连接池使用步骤导入 druid 对应的 jar 包。配置参数驱动类driverClassNamecom.mysql.jdbc.Driver连接地址urljdbc:mysql:///数据库名用户名、密码初始连接数、最大连接数、最大等待时间druid.properties 配置文件driverClassNamecom.mysql.jdbc.Driver urljdbc:mysql:///jdbcdemo usernameroot passwordroot initialSize5 maxActive10 maxWait3000编写工具类静态代码块加载配置文件创建连接池对象。提供获取连接、释放资源的静态方法。连接释放调用 close () 方法并非销毁连接而是归还到连接池。Druid 工具类import com.alibaba.druid.pool.DruidDataSourceFactory; import javax.sql.DataSource; import java.io.InputStream; import java.sql.Connection; import java.sql.ResultSet; import java.sql.Statement; import java.util.Properties; public class JdbcUtils { private static DataSource dataSource; static { try { Properties prop new Properties(); InputStream is JdbcUtils.class.getResourceAsStream(/druid.properties); prop.load(is); dataSource DruidDataSourceFactory.createDataSource(prop); } catch (Exception e) { e.printStackTrace(); } } // 获取连接 public static Connection getConnection() throws Exception { return dataSource.getConnection(); } // 释放资源 public static void close(ResultSet rs, Statement stmt, Connection conn) { try { if (rs ! null) rs.close(); if (stmt ! null) stmt.close(); if (conn ! null) conn.close(); } catch (Exception e) { e.printStackTrace(); } } }Druid 使用测试public class DruidTest { public static void main(String[] args) throws Exception { Connection conn JdbcUtils.getConnection(); String sql insert into t_user values(null,druid,123,druidqq.com); PreparedStatement pstmt conn.prepareStatement(sql); pstmt.executeUpdate(); JdbcUtils.close(null, pstmt, conn); } }八、JDBC 工具类封装作用简化连接获取、资源释放操作。实现方式配置文件存储数据库参数解耦代码。静态代码块初始化连接池。提供统一的 getConnection 方法。重载 close 方法支持不同场景资源释放。工具类重载 close 方法// 无结果集 public static void close(Statement stmt, Connection conn) { close(null, stmt, conn); }