java操作sql server数据中，关于PreparedStatement数据注入问题

问题描述：

在Java操作SQL Server数据库时，会使用PreparedStatement数据注入方式避免“万能密码”的产生以及提高代码执行效率。例如经常使用如下方式：

requery("select * from stu where name = ? and address = ?", new String[]{ "liu", "wo"});

或 requery("select * from stu where name = ? ", new String[]{ "liu"});

//这样实现requery函数的复用，减少代码量。

public void requery(String s,String[] data){

try{
Class.forName(className);
ct=DriverManager.getConnection(url,name,passWord);
ps=ct.prepareStatement(s);

for(int i=0; i <data.length; i++){
ps.setString(i+1,data[i]);
}
rs=ps.executeQuery();
while(rs.next()){
temp=new Vector();
temp.add(rs.getString(1));
temp.add(rs.getString(2));
rowData.add(temp);
}

}catch(Exception e){
e.printStackTrace();
}finally{
//关闭资源
try {
if(rs!=null)
rs.close();
if(ps!=null)
ps.close();
if(ct!=null)
ct.close();
} catch (SQLException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
}

}

//但接下来问题来了，若sql语句里的问号所需要填充的数据包括String 、int等各种类型，上述的方法就不能使用了，那怎样才能继续代码复用的这种思想呢？

经过笔者研究，提出如下的解决思路：

1、首先建立一个类模型，成员变量为你要访问的数据库表所对应的各种类型字段，此外加上一个int类型的数组成员变量，长度与前面成员变量个数一直，这个数组用来存放

前面对应的每一个成员变量的位置顺序。如下图

2、A类中添加一个根据位置取A的成员变量的方法

public class User {
public final static int SIZE = 2;

private String username;
private int password; 
private int[] flag = new int[SIZE];//对应上面的两个成员

public Object getMenber(int num){
Object o = null;
for(int i = 0; i < SIZE; i++){
if(num == flag[i]){
switch (i) {
case 0: //用户名
o = username;
break;
case 1: //密码
o = password;
break;
}
}
}
return o;
}

public void setFlag(int[] flag) {
this.flag = flag;
}

public void setUsername(String username) {
this.username = username;
}

public void setPassword(int password) {
this.password = password;
}

}

3、改写requery方法

public void requery(String s,User data, int count){
//查询
columnNames=new Vector();
rowData=new Vector();
//设置列名
columnNames.add("用户名");
columnNames.add("密码");
try{
Class.forName(className);
ct=DriverManager.getConnection(url,name,passWord);
ps=ct.prepareStatement(s);

for(int i=1; i <= count; i++){
ps.setObject(i, data.getMenber(i));

}
rs=ps.executeQuery();
while(rs.next()){
temp=new Vector();
temp.add(rs.getString(1));
temp.add(rs.getString(2));
rowData.add(temp);
}

}catch(Exception e){
e.printStackTrace();
}finally{
//关闭资源
try {
if(rs!=null)
rs.close();
if(ps!=null)
ps.close();
if(ct!=null)
ct.close();
} catch (SQLException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
}
}

4、最后实际应用

User data = new User();

data.setUsername("liu");

data.setPassword(123);

data.setFlag(new int[]{2, 1});
int count = 2; //两个问号
st=new stuMode();
st.requery("select * from stu where password = ? and username = ?",data, count);