SQL注入--(错误的关键词也能执行成功) --（预处理 PreparedStatement 修正）--02 --ResultSet日常需求

本文链接：https://blog.youkuaiyun.com/weixin_54687631/article/details/116953168

本文探讨了SQL注入问题，指出PreparedStatement作为预状态通道，其编译SQL并使用占位符的方式能有效防止注入攻击。同时，介绍了PreparedStatement的执行效率优势和占位符规则。还涉及了ResultSet的使用，包括如何获取查询结果以及不同类型的ResultSet特性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

/**

对比statement和PreparedStatement;
(1)statement属于状态通道，PreparedStatement属于预状态通道
(2)预状态通道会先编译sql语句,再去执行，比statement执行效率高
(3)预状态通道支持占位符?,给占位符赋值的时候，位置从1开始
(4)预状态通道可以防止sql注入，原因:预状态通道在处理值的时候以字符串的方式处理
*/

import java.sql.*;

public class Demo1 {
    public static void main(String[] args) {
        Connection connection = null;
        PreparedStatement pps = null;
        ResultSet resultSet = null;


        try {
            //1.加载驱动
            Class.forName("com.mysql.cj.jdbc.Driver");
            //2.获得链接
            String userName = "root";
            String password = "root";
            String url = "jdbc:mysql://localhost:3306/mysqladvanced?serverTimezone=UTC";
            connection = DriverManager.getConnection(url,userName,password);

变量范围

        //3.定义sql，创建   预    状态通道(进行sql语句的发送)
        String sql = "select * from users2 where username=? and password=?";    //? 英文符号，用来表示占位
        pps  = connection.prepareStatement(sql);

        //登录失败

// String uname = “abcd”; //在表记录中，abcd为错误uname,aa为正确 uname
// String pass = " ‘’ or 1=1"; //在表记录中，aa为正确pass

        //登陆成功
        String uname = "aa"; //在表记录中，abcd为错误uname,aa为正确 uname
        String pass = "111"; //在表记录中，111为正确pass

        //给占位符赋值    括号里面跟(下标，数值)        下标从1开始
        pps.setString(1,uname);//根据表中数据给setXxx()
        pps.setString(2,pass);

      //执行sql
            resultSet = pps.executeQuery(); //executeQuery(sql)执行增删改时使用
            if(resultSet.next()){
             System.out.println("登录成功");
        }else{
            System.out.println("登录失败");
            }
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException throwables) {
            throwables.printStackTrace();
        } finally {
            try {


                //5.关闭资源
                if(resultSet !=null){
                    resultSet.close();
                }
                if(pps !=null){
                    pps.close();
                }
                if( connection !=null){
                    connection.close();
                }
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }

        }

    }
}