,模塊,9,Java數(shù)據(jù)庫編程,學(xué)習(xí)目標(biāo),01,掌握在Java應(yīng)用程序中用JDBC連接驅(qū)動訪問MySQL數(shù)據(jù)庫的方法和步驟。,02,掌握通過Java應(yīng)用程序操作MySQL數(shù)據(jù)庫的方法和步驟，包括查詢（順序查詢、游動查詢）、添加、修改和刪除數(shù)據(jù)記錄等基本數(shù)據(jù)操作過程。,03,了解通過預(yù)編譯SQL語句對MySQL數(shù)據(jù)庫進(jìn)行數(shù)據(jù)操作的過程。,04,理解預(yù)編譯SQL語句防止SQL注入的方法和意義。,技能目標(biāo),1.能夠在MyEclipse IDE中為Java項(xiàng)目配置JDBC數(shù)據(jù)庫連接驅(qū)動。,2.能夠在MyEclipse IDE中編寫Java應(yīng)用程序?qū)ySQL數(shù)據(jù)庫中的數(shù)據(jù)記錄進(jìn)行查詢、添加、修改和刪除等操作。,3.能夠在MyEclipse IDE中編寫預(yù)編譯SQL語句對MySQL數(shù)據(jù)庫中的數(shù)據(jù)記錄進(jìn)行操作及防止SQL注入。,9.1 回顧與思考,在軟件開發(fā)過程中，通常情況下都需要利用數(shù)據(jù)庫來存放數(shù)據(jù)。用Java語言編寫的程序也要能實(shí)現(xiàn)與數(shù)據(jù)庫進(jìn)行交互的功能。使用Java語言訪問數(shù)據(jù)庫主要包括從數(shù)據(jù)庫中查找符合給定條件的記錄、向數(shù)據(jù)庫中插入符合給定條件的記錄、修改或刪除數(shù)據(jù)庫中符合給定條件的記錄。,因此，本模塊我們開始學(xué)習(xí)編寫Java應(yīng)用程序訪問數(shù)據(jù)庫的方法技術(shù)，內(nèi)容包含對數(shù)據(jù)庫中數(shù)據(jù)記錄的查詢、添加、修改與刪除等操作，以及使用預(yù)編譯SQL語句防止從應(yīng)用程序外部進(jìn)行SQL注入。,9.2 數(shù)據(jù)庫操作準(zhǔn)備,9.2.1 創(chuàng)建MySQL數(shù)據(jù)庫,通過Java應(yīng)用程序訪問數(shù)據(jù)庫，首先要準(zhǔn)備好數(shù)據(jù)庫及其中的數(shù)據(jù)。單擊桌面“開始”按鈕，選擇“所有程序”“MySQL”，在展開項(xiàng)中選擇“MySQL Server 5.5”，從中選擇“MySQL 5.5 Command Line Client”，打開MySQL命令行客戶端。,然后，輸入SQL語句“select*from student;”進(jìn)行驗(yàn)證?？蛻舳溯敵鼋Y(jié)果如圖9,-,1所示，其表明數(shù)據(jù)庫已準(zhǔn)備就緒。,圖9,-,1 student表的記錄,9.2 數(shù)據(jù)庫操作準(zhǔn)備,9.2.2 加載JDBC數(shù)據(jù)庫連接驅(qū)動,在MyEclipse IDE中，右擊項(xiàng)目myPro，在彈出的快捷菜單中選擇Properties選項(xiàng)，彈出“Properties for myPro”窗口，在左側(cè)的列項(xiàng)中選擇Java Build Path選項(xiàng)，再在右側(cè)切換到Libraries選項(xiàng)卡，如圖9,-,2所示。,圖9,-,2“Properties for myPro”窗口,9.2 數(shù)據(jù)庫操作準(zhǔn)備,9.2.2 加載JDBC數(shù)據(jù)庫連接驅(qū)動,單擊Add External JARs按鈕，在彈出的“JAR Selection”對話框中找到所需連接驅(qū)動所在的目錄位置，如圖9,-,3所示。,圖9,-,3“JAR Selection”對話框,9.2 數(shù)據(jù)庫操作準(zhǔn)備,9.2.2 加載JDBC數(shù)據(jù)庫連接驅(qū)動,單擊“打開”按鈕，返回“Properties for myPro”窗口，在“Java Build Path”的“Libraries”選項(xiàng)卡中出現(xiàn)了加載的MySQL連接驅(qū)動，如圖9,-,4所示。,圖9,-,4 MySQL連接驅(qū)動加載完成,9.3 數(shù)據(jù)庫操作技術(shù),9.3.1 查詢記錄操作,【例9,-,1】,在控制臺顯示從myDatabase數(shù)據(jù)庫的student表中查詢到的所有數(shù)據(jù)記錄。,文件名為Example9_1.java，其代碼如下。,1.順序查詢,其代碼,見,P186-187,。,運(yùn)行結(jié)果如下。,9.3 數(shù)據(jù)庫操作技術(shù),9.3.1 查詢記錄操作,在游動查詢操作中，采用createStatement(int resultSetType,int resultSetConcurrency)方法將 SQL語句發(fā)送到數(shù)據(jù)庫。其參數(shù)的功能如下。,2.游動查詢,（1）resultSetType的取值決定結(jié)果集的游標(biāo)能否上下移動。取值如下。,ResultSet.TYPE_FORWARD_ONLY：結(jié)果集的游標(biāo)只能向下移動。,ResultSet.TYPE_SCROLL_INSENSITIVE：結(jié)果集的游標(biāo)能夠上下移動。當(dāng)數(shù)據(jù)庫有變化時，當(dāng)前結(jié)果集不變。,ResultSet.Type_SCROLL_SENSITIVE：結(jié)果集的游標(biāo)能夠上下移動。當(dāng)數(shù)據(jù)庫有變化時，當(dāng)前結(jié)果集同步改變。,9.3 數(shù)據(jù)庫操作技術(shù),9.3.1 查詢記錄操作,2.游動查詢,（2）resultSetConcurrency的取值決定能否用結(jié)果集更新數(shù)據(jù)庫。取值如下。,ResultSet.CONCUR_READ_ONLY：不能用結(jié)果集更新數(shù)據(jù)庫中的表。,ResultSet.CONCUR_UPDATABLE：能用結(jié)果集更新數(shù)據(jù)庫中的表。,（2）resultSetConcurrency的取值決定能否用結(jié)果集更新數(shù)據(jù)庫。取值如下。,ResultSet.CONCUR_READ_ONLY：不能用結(jié)果集更新數(shù)據(jù)庫中的表。,ResultSet.CONCUR_UPDATABLE：能用結(jié)果集更新數(shù)據(jù)庫中的表。,9.3 數(shù)據(jù)庫操作技術(shù),9.3.1 查詢記錄操作,2.游動查詢,【例9,-,2】,游動查詢myDatabase數(shù)據(jù)庫的student表中的數(shù)據(jù)記錄。,文件名為Example9_2.java，其代碼如下。,其代碼,見,P188-190,。,運(yùn)行結(jié)果如下。,一共有6條記錄。,第三條記錄為：,王五 男 1999,-,02,-,02 85 通信工程,9.3 數(shù)據(jù)庫操作技術(shù),9.3.2 添加記錄操作,【例9,-,3】,從控制臺接收數(shù)據(jù)向myDatabase數(shù)據(jù)庫的student表中插入一條記錄(,周九,男,1999,-,6,-,6,88,網(wǎng)絡(luò)工程,)。,文件名為Example9_3.java，其代碼如下。,其代碼,見,P190-192,。,運(yùn)行結(jié)果如下。,9.3 數(shù)據(jù)庫操作技術(shù),9.3.3 修改記錄操作,【例9,-,4】,從控制臺接收數(shù)據(jù)，將myDatabase數(shù)據(jù)庫的student表中name字段值為“李四”記錄的specialty字段值改為“人工智能工程”。,文件名為Example9_4.java，其代碼如下。,其代碼,見,P192-193,。,運(yùn)行結(jié)果如下。,9.3 數(shù)據(jù)庫操作技術(shù),9.3.4 刪除記錄操作,【例9,-,5】,從控制臺接收數(shù)據(jù)，將myDatabase數(shù)據(jù)庫的student表中name字段值為“周九”的記錄刪除。,文件名為Example9_5.java，其代碼如下。,其代碼,見,P194-195,。,運(yùn)行結(jié)果如下。,9.4 防止SQL注入,9.4.1 SQL注入,SQL,是操作數(shù)據(jù)庫數(shù)據(jù)的結(jié)構(gòu)化查詢語言，采用SQL將應(yīng)用程序和數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行交互。如果應(yīng)用程序?qū)τ脩糨斎霐?shù)據(jù)的合法性沒有判斷或過濾不嚴(yán)，則攻擊者可以修改在應(yīng)用程序中事先定義好的查詢語句，以此來實(shí)現(xiàn)欺騙數(shù)據(jù)庫執(zhí)行非授權(quán)的任意查詢，從而進(jìn)一步得到相應(yīng)的數(shù)據(jù)信息，發(fā)生SQL注入攻擊。,9.4 防止SQL注入,9.4.1 SQL注入,【例9,-,6】,SQL注入示例。,首先在myDatabase數(shù)據(jù)庫中建一個表，命名為user，表結(jié)構(gòu)為name(varchar)、password(varchar)，SQL語句為“create table user(name varchar(20),password varchar(20);”。向user表中插入一條數(shù)據(jù)記錄，SQL語句為“insert into user(name,password)values(,南京交通,njjt,);”。,其代碼,見,P197-198,。,然后編寫應(yīng)用程序。文件名為Example9_6.java，其代碼如下。,9.4 防止SQL注入,9.4.1 SQL注入,【例9,-,6】,SQL注入示例。,運(yùn)行后，輸入密碼時注入非法SQL，結(jié)果如下。,在沒有輸入正確的用戶名和密碼的情況下，仍然通過應(yīng)用程序非法闖入了數(shù)據(jù)庫。,如果把程序中與數(shù)據(jù)庫用戶名和密碼進(jìn)行比對部分的代碼,9.4 防止SQL注入,9.4.1 SQL注入,【例9,-,6】,SQL注入示例。,修改為,9.4 防止SQL注入,9.4.1 SQL注入,【例9,-,6】,SQL注入示例。,運(yùn)行后，輸入用戶名和密碼時注入非法SQL，結(jié)果如下。,請輸入用戶名：java,or,1=1,請輸入密碼：mima,or,1=1,密碼不正確！,雖然保證了數(shù)據(jù)庫未被非法闖入，但是被成功地騙取了“合法”用戶身份，數(shù)據(jù)庫仍然存在潛在的危險。,9.4 防止SQL注入,9.4.2 預(yù)編譯SQL語句,對于要多次執(zhí)行的SQL語句，MySQL支持將其寫成預(yù)編譯SQL語句的形式，而后可直接多次調(diào)用。預(yù)編譯SQL語句的運(yùn)用分準(zhǔn)備和執(zhí)行兩個過程：,語句準(zhǔn)備過程是通知MySQL服務(wù)器將預(yù)編譯SQL語句編譯成執(zhí)行計(jì)劃，SQL語句只需編譯一次；語句執(zhí)行過程則直接調(diào)用編譯所形成的機(jī)器代碼段，多次執(zhí)行同一條SQL語句時，效率非常高。,在預(yù)編譯SQL語句中，允許有一個或多個未指定數(shù)值的輸入?yún)?shù)，輸入?yún)?shù)用占位符“？”代替。在執(zhí)行預(yù)編譯SQL語句前，必須對“？”進(jìn)行賦值。,9.4 防止SQL注入,9.4.2 預(yù)編譯SQL語句,【例9,-,7】,用預(yù)編譯SQL語句替代文件Example9_6.java中的部分代碼，達(dá)到防止SQL注入的目的。,文件名為Example9_7.java，其代碼如下。,其代碼,見,P200-201,。,運(yùn)行結(jié)果如下。,9.5 小結(jié),在本模塊，我們系統(tǒng)學(xué)習(xí)了在MyEclipse IDE中通過JDBC數(shù)據(jù)庫連接驅(qū)動訪問MySQL數(shù)據(jù)庫，并進(jìn)行查詢（順序查詢、游動查詢）、添加、修改和刪除數(shù)據(jù)記錄等基本數(shù)據(jù)操作的過程和方法。我們還學(xué)習(xí)了預(yù)編譯SQL語句在數(shù)據(jù)操作及防止SQL注入等方面的運(yùn)用。,9.6 習(xí)題,1.在MyEclipse IDE中為Java項(xiàng)目配置通過JDBC 訪問MySQL數(shù)據(jù)庫的連接驅(qū)動。,2.借助Java API詳細(xì)分析Java應(yīng)用程序中連接訪問MySQL數(shù)據(jù)庫的關(guān)鍵代碼。,3.Connection、Statement和ResultSet都是java.sql包中的接口。通過模塊5的學(xué)習(xí)，我們知道接口中的方法都是抽象方法。但是，在數(shù)據(jù)庫操作過程中，為什么能調(diào)用上述接口中的方法呢？,提示,：調(diào)用getClass()方法查找對象的來源。,4.如果沒有使用預(yù)編譯SQL語句進(jìn)行用戶登錄驗(yàn)證，會產(chǎn)生怎樣的后果？,9.7 上機(jī)實(shí)踐,仿照本模塊中的例子，對myDatabase數(shù)據(jù)庫的student表繼續(xù)進(jìn)行以下數(shù)據(jù)操作。,1.查詢專業(yè)為“網(wǎng)絡(luò)工程”的數(shù)據(jù)記錄，并在控制臺顯示查詢結(jié)果。,2.向student表中插入一條記錄，并查詢顯示插入結(jié)果。,3.將student表中name字段值為“王五”記錄的score字段值改為“95”，并查詢顯示更改結(jié)果。,4.刪除student表中name字段值為“孫八”的記錄，并查詢顯示刪除結(jié)果。,謝謝觀看！,