• JDBC知识【JDBC API详解】第三章下篇

    目录

    • 💂 个人主页: 爱吃豆的土豆

    • 🌈欢迎加入社区，福利多多哦！土豆社区

    • 🤟 版权: 本文由【爱吃豆的土豆】原创、在CSDN首发、需要转载请联系博主
    • 💬 如果文章对你有帮助、欢迎关注、点赞、收藏(一键三连)和订阅专栏哦

    • 🏆人必有所执，方能有所成！

    案例

    PreparedStatement

    SQL注入

    代码模拟SQL注入问题

    PreparedStatement概述

    使用PreparedStatement改进

    PreparedStatement原理

    案例

    需求：查询account账户表数据，封装为Account对象中，并且存储到ArrayList集合中

    代码实现

    1. /**
    2.   * 查询account账户表数据，封装为Account对象中，并且存储到ArrayList集合中
    3.   * 1. 定义实体类Account
    4.   * 2. 查询数据，封装到Account对象中
    5.   * 3. 将Account对象存入ArrayList集合中
    6.   */
    7. @Test
    8. public void testResultSet2() throws  Exception {
    9.     //1. 注册驱动
    10.     //Class.forName("com.mysql.jdbc.Driver");
    11.     //2. 获取连接：如果连接的是本机mysql并且端口是默认的 3306 可以简化书写
    12.     String url = "jdbc:mysql:///db1?useSSL=false";
    13.     String username = "root";
    14.     String password = "1234";
    15.     Connection conn = DriverManager.getConnection(url, username, password);
    16.  
    17.     //3. 定义sql
    18.     String sql = "select * from account";
    19.  
    20.     //4. 获取statement对象
    21.     Statement stmt = conn.createStatement();
    22.  
    23.     //5. 执行sql
    24.     ResultSet rs = stmt.executeQuery(sql);
    25.  
    26.     // 创建集合
    27.     List list = new ArrayList<>();
    28.    
    29.     // 6.1 光标向下移动一行，并且判断当前行是否有数据
    30.     while (rs.next()){
    31.         Account account = new Account();
    32.  
    33.         //6.2 获取数据  getXxx()
    34.         int id = rs.getInt("id");
    35.         String name = rs.getString("name");
    36.         double money = rs.getDouble("money");
    37.  
    38.         //赋值
    39.         account.setId(id);
    40.         account.setName(name);
    41.         account.setMoney(money);
    42.  
    43.         // 存入集合
    44.         list.add(account);
    45.     }
    46.  
    47.     System.out.println(list);
    48.  
    49.     //7. 释放资源
    50.     rs.close();
    51.     stmt.close();
    52.     conn.close();
    53. }

     

    PreparedStatement

    PreparedStatement作用：

    • 预编译SQL语句并执行：预防SQL注入问题

    对上面的作用中SQL注入问题大家肯定不理解。那我们先对SQL注入进行说明.

    SQL注入

    SQL注入是通过操作输入来修改事先定义好的SQL语句，用以达到执行代码对服务器进行攻击的方法。

    在今天资料下的 day03-JDBC\资料\2. sql注入演示 中修改 application.properties 文件中的用户名和密码，文件内容如下：

    spring.datasource.driver-class-name=com.mysql.cj.jdbc.Driver
    spring.datasource.url=jdbc:mysql://localhost:3306/test?useSSL=false&useUnicode=true&characterEncoding=UTF-8
    spring.datasource.username=root
    spring.datasource.password=****

    在MySQL中创建名为 test 的数据库

    create database test; 

     此时我们就能在数据库中看到user表

     

    接下来在浏览器的地址栏输入 localhost:8080/login.html 就能看到如下页面

     

    我们就可以在如上图中输入用户名和密码进行登陆。用户名和密码输入正确就登陆成功，跳转到首页。用户名和密码输入错误则给出错误提示，如下图

     

    但是我可以通过输入一些特殊的字符登陆到首页。

    用户名随意写，密码写成 ' or '1' ='1

     

    这就是SQL注入漏洞，也是很危险的。当然现在市面上的系统都不会存在这种问题了，所以大家也不要尝试用这种方式去试其他的系统。

    那么该如何解决呢？这里就可以将SQL执行对象 Statement 换成 PreparedStatement 对象。  

    代码模拟SQL注入问题

    1. @Test
    2. public void testLogin() throws  Exception {
    3.     //2. 获取连接：如果连接的是本机mysql并且端口是默认的 3306 可以简化书写
    4.     String url = "jdbc:mysql:///db1?useSSL=false";
    5.     String username = "root";
    6.     String password = "****";
    7.     Connection conn = DriverManager.getConnection(url, username, password);
    8.  
    9.     // 接收用户输入 用户名和密码
    10.     String name = "sjdljfld";
    11.     String pwd = "' or '1' = '1";
    12.     String sql = "select * from tb_user where username = '"+name+"' and password = '"+pwd+"'";
    13.     // 获取stmt对象
    14.     Statement stmt = conn.createStatement();
    15.     // 执行sql
    16.     ResultSet rs = stmt.executeQuery(sql);
    17.     // 判断登录是否成功
    18.     if(rs.next()){
    19.         System.out.println("登录成功~");
    20.     }else{
    21.         System.out.println("登录失败~");
    22.     }
    23.  
    24.     //7. 释放资源
    25.     rs.close();
    26.     stmt.close();
    27.     conn.close();
    28. }

    上面代码是将用户名和密码拼接到sql语句中，拼接后的sql语句如下

    select * from tb_user where username = 'sjdljfld' and password = ''or '1' = '1'

    从上面语句可以看出条件 username = 'sjdljfld' and password = '' 不管是否满足，而 or 后面的 '1' = '1' 是始终满足的，最终条件是成立的，就可以正常的进行登陆了。

    接下来我们来学习PreparedStatement对象.

     

    PreparedStatement概述

    PreparedStatement作用：

    • 预编译SQL语句并执行：预防SQL注入问题

    • 获取 PreparedStatement 对象

      // SQL语句中的参数值，使用？占位符替代
String sql = "select * from user where username = ? and password = ?";
// 通过Connection对象获取，并传入对应的sql语句
PreparedStatement pstmt = conn.prepareStatement(sql);

    • 设置参数值

      上面的sql语句中参数使用 ? 进行占位，在之前之前肯定要设置这些 ? 的值。

      PreparedStatement对象：setXxx(参数1，参数2)：给 ? 赋值

      • Xxx：数据类型 ； 如 setInt (参数1，参数2)

      • 参数：

        • 参数1： ？的位置编号，从1 开始

        • 参数2： ？的值

    • 执行SQL语句

      executeUpdate(); 执行DDL语句和DML语句

      executeQuery(); 执行DQL语句

      ==注意：==

      • 调用这两个方法时不需要传递SQL语句，因为获取SQL语句执行对象时已经对SQL语句进行预编译了。

    使用PreparedStatement改进

    1.  @Test
    2. public void testPreparedStatement() throws  Exception {
    3.     //2. 获取连接：如果连接的是本机mysql并且端口是默认的 3306 可以简化书写
    4.     String url = "jdbc:mysql:///db1?useSSL=false";
    5.     String username = "root";
    6.     String password = "1234";
    7.     Connection conn = DriverManager.getConnection(url, username, password);
    8.  
    9.     // 接收用户输入 用户名和密码
    10.     String name = "zhangsan";
    11.     String pwd = "' or '1' = '1";
    12.  
    13.     // 定义sql
    14.     String sql = "select * from tb_user where username = ? and password = ?";
    15.     // 获取pstmt对象
    16.     PreparedStatement pstmt = conn.prepareStatement(sql);
    17.     // 设置？的值
    18.     pstmt.setString(1,name);
    19.     pstmt.setString(2,pwd);
    20.     // 执行sql
    21.     ResultSet rs = pstmt.executeQuery();
    22.     // 判断登录是否成功
    23.     if(rs.next()){
    24.         System.out.println("登录成功~");
    25.     }else{
    26.         System.out.println("登录失败~");
    27.     }
    28.     //7. 释放资源
    29.     rs.close();
    30.     pstmt.close();
    31.     conn.close();
    32. }

    执行上面语句就可以发现不会出现SQL注入漏洞问题了。那么PreparedStatement又是如何解决的呢？它是将特殊字符进行了转义，转义的SQL如下：

    select * from tb_user where username = 'sjdljfld' and password = '\'or \'1\' = \'1'

     

    PreparedStatement原理

    PreparedStatement 好处：

    • 预编译SQL，性能更高

    • 防止SQL注入：==将敏感字符进行转义==

     

     

    Java代码操作数据库流程如图所示：

    • 将sql语句发送到MySQL服务器端

    • MySQL服务端会对sql语句进行如下操作

      • 检查SQL语句

        检查SQL语句的语法是否正确。

      • 编译SQL语句。将SQL语句编译成可执行的函数。

        检查SQL和编译SQL花费的时间比执行SQL的时间还要长。如果我们只是重新设置参数，那么检查SQL语句和编译SQL语句将不需要重复执行。这样就提高了性能。

      • 执行SQL语句

    接下来我们通过查询日志来看一下原理。

    • 开启预编译功能

      在代码中编写url时需要加上以下参数。而我们之前根本就没有开启预编译功能，只是解决了SQL注入漏洞。

      useServerPrepStmts=true

    • 配置MySQL执行日志（重启mysql服务后生效）

      在mysql配置文件（my.ini）中添加如下配置

      log-output=FILE general-log=1 general_log_file="D:\mysql.log" slow-query-log=1 slow_query_log_file="D:\mysql_slow.log" long_query_time=2

    java测试代码如下：

    1.  /**
    2.    * PreparedStatement原理
    3.    * @throws Exception
    4.    */
    5. @Test
    6. public void testPreparedStatement2() throws  Exception {
    7.  
    8.     //2. 获取连接：如果连接的是本机mysql并且端口是默认的 3306 可以简化书写
    9.     // useServerPrepStmts=true 参数开启预编译功能
    10.     String url = "jdbc:mysql:///db1?useSSL=false&useServerPrepStmts=true";
    11.     String username = "root";
    12.     String password = "1234";
    13.     Connection conn = DriverManager.getConnection(url, username, password);
    14.  
    15.     // 接收用户输入 用户名和密码
    16.     String name = "zhangsan";
    17.     String pwd = "' or '1' = '1";
    18.  
    19.     // 定义sql
    20.     String sql = "select * from tb_user where username = ? and password = ?";
    21.  
    22.     // 获取pstmt对象
    23.     PreparedStatement pstmt = conn.prepareStatement(sql);
    24.  
    25.     Thread.sleep(10000);
    26.     // 设置？的值
    27.     pstmt.setString(1,name);
    28.     pstmt.setString(2,pwd);
    29.     ResultSet rs = null;
    30.     // 执行sql
    31.     rs = pstmt.executeQuery();
    32.  
    33.     // 设置？的值
    34.     pstmt.setString(1,"aaa");
    35.     pstmt.setString(2,"bbb");
    36.     // 执行sql
    37.     rs = pstmt.executeQuery();
    38.  
    39.     // 判断登录是否成功
    40.     if(rs.next()){
    41.         System.out.println("登录成功~");
    42.     }else{
    43.         System.out.println("登录失败~");
    44.     }
    45.  
    46.     //7. 释放资源
    47.     rs.close();
    48.     pstmt.close();
    49.     conn.close();
    50. }

     执行SQL语句，查看 D:\mysql.log 日志如下:

    • 上图中第三行中的 Prepare 是对SQL语句进行预编译。第四行和第五行是执行了两次SQL语句，而第二次执行前并没有对SQL进行预编译。

    ==小结：==

    • 在获取PreparedStatement对象时，将sql语句发送给mysql服务器进行检查，编译（这些步骤很耗时）

    • 执行时就不用再进行这些步骤了，速度更快

    • 如果sql模板一样，则只需要进行一次检查、编译

     

  • 相关阅读:
    【Vue】轻松理解数据代理
    尚硅谷JavaScript高级学习笔记
    进入前六！博云在中国云管理软件市场销量排行持续上升
    fastapi 在中间件中获取requestBody
    信奥中的数学基础：分解质因数 因式分解
    易观分析：以用户为中心，提升手机银行用户体验，助力用户价值增长
    Shell脚本文本三剑客之sed编辑器
    Python在工作中适用的方方面面，看看哪个适合你？
    JAVA:实现字符串WordLadder字梯算法(附完整源码)
    使用 LCM LoRA 4 步完成 SDXL 推理
  • 原文地址：https://blog.csdn.net/m0_64550837/article/details/126487413