JDBC用法简介

百度百科介绍：JDBC（Java DataBase Connectivity,java数据库连接）是一种用于执行SQL语句的Java API，可以为多种关系数据库提供统一访问，它由一组用Java语言编写的类和接口组成。JDBC提供了一种基准，据此可以构建更高级的工具和接口，使数据库开发人员能够编写数据库应用程序。

jdbc4之后，可以自动加载驱动，不需要再使用Class.forName("com.mysql.cj.jdbc.Driver");的方式加载。只要直接抒写"连接数据"的语句即可

Statement s = conn.createStatement();

// 准备sql语句

// 注意： 字符串要用单引号'

String sql = "insert into student values(null,"+"'小明')";

//在statement中使用字符串拼接的方式，这种方式存在诸多问题

s.execute(sql);

System.out.println("执行插入语句成功");

String sql = "insert into t_course(course_name) values(?)";//【增删改查自己根据需求写】

PreparedStatement  pstmt = (PreparedStatement) conn.prepareStatement(sql);

pstmt.setString(1, courseName); //给占位符赋值

pstmt.executeUpdate(); //执行

/**

* 查询课程

* @return

*/

public List<Course> findCourseList(){

String sql = "select * from t_course order by course_id";

Connection conn = null;

PreparedStatement pstmt = null;

ResultSet rs = null;

//自己创建一个集合对象用来存放查询到的数据

List<Course> courseList = new ArrayList<>();

try {

conn = DbUtil.getConnection();

pstmt = (PreparedStatement) conn.prepareStatement(sql);

rs = (ResultSet) pstmt.executeQuery();

while (rs.next()){

int courseId = rs.getInt("course_id");

String courseName = rs.getString("course_name");

//每个记录对应一个对象

Course course = new Course();

course.setCourseId(courseId);

course.setCourseName(courseName);

//将对象放到集合中

courseList.add(course);

}

} catch (SQLException e) {

e.printStackTrace();

}finally{

///DbUtil这是自己写的一个工具类

DbUtil.close(rs);

DbUtil.close(pstmt);

DbUtil.close(conn);        //必须关闭

}

return courseList;

}

ResultSet rs = s.executeQuery(sql);

什么是sql注入：例如传参时id=1，而传入则刻意传入id=1 or 1=1，当使用拼接sql时就会发生问题。

具体解决方法：1、严格检查输入变量的类型和格式。2、过滤和转义特殊字符。3、利用预编译机制。具体参考网上资料