Java-Java之数据库连接桥梁JDBC学习笔记

Carrie_Lei

已于 2024-09-07 08:35:29 修改

阅读量1.7k

点赞数 42

CC 4.0 BY-SA版权

分类专栏： Java 文章标签： java 数据库学习

于 2024-06-09 20:57:05 首次发布

本文链接：https://blog.youkuaiyun.com/finly4599/article/details/139426147

JDBC调用

Java与数据库的连接桥梁是JDBC（Java Database Connectivity）。JDBC是Java编程语言中用于连接和执行数据库操作的API（应用程序编程接口）。它提供了一种标准的方法，允许Java程序与各种数据库（如MySQL、PostgreSQL、Oracle、SQL Server等）进行交互。

JDBC主要包括以下几个核心组件：

JDBC Driver：JDBC驱动程序是Java应用程序与数据库之间的通信接口。不同的数据库有各自特定的JDBC驱动程序，例如MySQL有MySQL Connector/J，Oracle有Oracle JDBC驱动程序。
DriverManager：DriverManager类用于管理一组JDBC驱动程序，使用这个类可以从已注册的驱动程序列表中选择合适的驱动程序。
Connection：Connection对象表示与特定数据库的连接。通过这个对象可以创建SQL语句、执行SQL查询，并处理结果集。
Statement：Statement对象用于执行SQL语句。它有几个子接口，如PreparedStatement（用于预编译SQL语句）和CallableStatement（用于调用存储过程）。
ResultSet：ResultSet对象用于存储从数据库查询中获得的数据。它提供了各种方法来遍历和处理这些数据。

简单的JDBC使用示例

以下是一个简单的Java代码示例，展示如何使用JDBC连接到MySQL数据库并执行查询：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;

public class JdbcExample {
   
   
    public static void main(String[] args) {
   
   
        // 数据库URL，用户名和密码
        String url = "jdbc:mysql://localhost:3306/mydatabase";
        String user = "root";
        String password = "password";

        try {
   
   
            // 加载并注册JDBC驱动程序
            Class.forName("com.mysql.cj.jdbc.Driver");

            // 建立连接
            Connection connection = DriverManager.getConnection(url, user, password);

            // 创建Statement对象
            Statement statement = connection.createStatement();

            // 执行查询
            String query = "SELECT * FROM mytable";
            ResultSet resultSet = statement.executeQuery(query);

            // 处理结果集
            while (resultSet.next()) {
   
   
                System.out.println("Column1: " + resultSet.getString("column1"));
                System.out.println("Column2: " + resultSet.getInt("column2"));
            }

            // 关闭连接
            resultSet.close();
            statement.close();
            connection.close();
        } catch (Exception e) {
   
   
            e.printStackTrace();
        }
    }
}

注意事项

确保你有合适的JDBC驱动程序，并将其包含在你的项目类路径中。
根据具体的数据库类型，URL格式会有所不同。
处理数据库连接时，应始终使用适当的异常处理和资源关闭方法，以确保资源正确释放。

SQL注入攻击

SQL注入漏洞（SQL Injection）是一种通过将恶意SQL代码插入到应用程序的输入字段中，并将其传递给后台数据库执行，从而在未经授权的情况下访问或操作数据库的攻击方式。这种漏洞通常出现在动态构建SQL查询的应用程序中，攻击者可以利用它来绕过身份验证、检索敏感数据、篡改数据，甚至在某些情况下执行系统命令。

SQL注入的工作原理

SQL注入攻击的基本原理是利用应用程序未正确处理用户输入的漏洞，将恶意的SQL代码注入到查询中。例如，假设有一个用户登录系统，其SQL查询如下：

SELECT * FROM users WHERE username = 'admin' AND password = 'password';

如果应用程序直接将用户输入的username和password值拼接到查询字符串中，而没有进行适当的转义或参数化处理，攻击者可以输入如下内容：

用户名：admin' --
密码：anything

这将导致查询变成：

SELECT * FROM users WHERE username = 'admin' --' AND password = 'anything';

在SQL中，--表示注释，后面的内容会被忽略。这样，原本需要验证用户名和密码的查询被修改为只验证用户名，使得攻击者能够绕过密码验证。

SQL注入的类型

基于联合查询的SQL注入（Union-based SQL Injection）：利用UNION关键字将恶意查询与原始查询合并，以检索更多数据。
基于错误的SQL注入（Error-based SQL Injection）：利用数据库错误消息来获取有关数据库结构的信息。
布尔盲注（Boolean-based Blind SQL Injection）：通过观察应用程序行为的变化来推断查询结果的真伪。
时间盲注（Time-based Blind SQL Injection）：通过引入时间延迟来推断查询的执行情况。

防范措施

使用参数化查询：确保应用程序使用参数化查询或预编译语句（如使用PDO或PreparedStatement），而不是直接拼接SQL字符串。
使用ORM框架：使用ORM（对象关系映射）框架，这些框架通常会自动处理输入的转义和参数化。
输入验证与转义：对用户输入进行严格的验证和转义，防止恶意代码注入。
最小权限原则：数据库用户应具有最小权限，防止因注入攻击导致的严重后果。
安全配置：禁用不必要的数据库功能和错误信息，减少攻击者获取数据库结构信息的机会。

防范SQL注入攻击更新JDBC调用

如何使用PreparedStatement

为了防范SQL注入攻击，可以通过使用PreparedStatement代替Statement对象来执行SQL查询。PreparedStatement允许我们使用参数化查询，从而避免将用户输入直接拼接到SQL语句中，这大大减少了SQL注入攻击的风险。

下面是更新后的代码，展示了如何使用PreparedStatement：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;

public class JdbcExample {
   
   
    public static void main(String[] args) {
   
   
        // 数据库URL，用户名和密码
        String url = "jdbc:mysql://localhost:3306/mydatabase";
        String user = "root";
        String password = "password";

        try {
   
   
            // 加载并注册JDBC驱动程序
            Class.forName("com.mysql.cj.jdbc.Driver");

            // 建立连接
            Connection connection = DriverManager.getConnection(url, user, password);

            // 使用PreparedStatement对象
            String query = "SELECT * FROM mytable WHERE column1 = ?";
            PreparedStatement preparedStatement = connection.prepareStat