JDBC入门（二）：PrepareStatement对象

103 阅读 0 评论 68 点赞

我是靠谱客的博主孝顺小懒猪，最近开发中收集的这篇文章主要介绍JDBC入门（二）：PrepareStatement对象，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

1.Statrment存在的问题：
存在sql注入问题：拼接sql时，有一些sql的特殊关键字符与字符串的拼接，会造成的安全性问题，如任意用户，输入密码：a’ or ‘a’ = 'a，存在恒等式，不能判断有错误。
2.解决办法：
引入prepareStatement对象。
3.使用区别：
定义sql语句时使用占位符？来代替具体数据；
执行sql语句前需要填充占位符。

//2.定义sql
String sql = "select * from user where username = ? and password = ?";
//3.获取执行sql语句的对象PrepareStatement
PrepareStatement preparedStatement = connection.prepareStatement(sql);
//4.填充占位符
preparedStatement.setString(1,username);
preparedStatement.setString(2,password);
//5.执行sql
resultSet = preparedStatement.executeQuery();