简单实现DButil工具类

DButil工具类的定义

定义一个工具类，类中实现连接方法，释放资源方法，查询方法，修改方法。

interface IRowMapper{void rowMapper(ResultSet rs);
}
public class DButil {static Connection con =null;static Statement sta =null;static String sql =null;static ResultSet result = null;public static Connection getConnection() {...}public static boolean upDate(String sql) {...}public static void sel(IRowMapper rowMapper,String sql) {...}private static void close(Statement statement,Connection connection) {...}private static void close(ResultSet result,Statement statement,Connection connection) {...}
}

1、连接方法

public static Connection getConnection() {try {Class.forName("com.mysql.jdbc.Driver");return DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/test", "root", "");    } catch (Exception e) {e.printStackTrace();}return null;}

此方法返回一个Connection型数据使用时可以直接Connection con = DButil.getConnection();来获取连接。
2、释放资源

private static void close(Statement statement,Connection connection) {try {if (statement!=null) {statement.close();}} catch (SQLException e) {e.printStackTrace();}try {if (connection!=null) {connection.close();}} catch (SQLException e) {e.printStackTrace();}}private static void close(ResultSet result,Statement statement,Connection connection) {try {if (result!=null) {result.close();}} catch (SQLException e) {e.printStackTrace();}close(statement,connection);}

此方法在完成查询或者修改操作后，根据所使用的资源情况进行调用不同的资源释放方法。
3、查询

public static void sel(IRowMapper rowMapper,String sql) {try {con = getConnection();sta = con.createStatement();result = sta.executeQuery(sql);rowMapper.rowMapper(result);} catch (Exception e) {e.printStackTrace();}finally {close(result, sta, con);}}

此查询方法同样使用了命令模式，方法参数列表中的IRowMapper为接口，使用该方法时需要创建该接口实现类，在实现类的rowMapper()方法中实现查询。
4、修改

public static boolean upDate(String sql) {con = getConnection();    try {sta = con.createStatement();return sta.executeUpdate(sql)>0;} catch (SQLException e) {e.printStackTrace();}finally {close(result, sta, con);}return false;}

修改方法返回boolean型数据，在使用该方法时，传入sql语句，直接判断upDate（sql）是否为真，为真则修改成功。

DButil工具类的使用

1、查询

public class Test {public static void main(String[] args){String sql = "select * from user_info";class RowMapper implements IRowMapper{@Overridepublic void rowMapper(ResultSet res) {try {while (res.next()) {String student_id = res.getString("id");String userName = res.getString("user_name");String password = res.getString("password");System.out.println(student_id+" ,"+userName+" ,"+password);}} catch (SQLException e) {e.printStackTrace();}}        }IRowMapper rowMapper = new RowMapper();DBUtil.select(sql, rowMapper);}
}

执行结果：

但是查询方法在实现登录时会出现问题，如下

public class Login {public static void main(String[] args){Scanner sc = new Scanner(System.in);System.out.println("请输入用户名：");String userName= sc.nextLine();System.out.println("请输入密码：");String password = sc.nextLine();String sql = "select * from user_info where user_name='"+userName+"' and password='"+password+"'";class RowMapper implements IRowMapper{@Overridepublic void rowMapper(ResultSet res) {try {if (res.next()) {String userName = res.getString("user_name");System.out.println(userName+"登录成功");return;}} catch (SQLException e) {e.printStackTrace();}System.out.println("账号密码错误");}      }IRowMapper rowMapper = new RowMapper();DButil.sel(rowMapper, sql);}
}

执行用户登录结果如下：

前两种情况没什么问题，但最后一种情况登录成功显然出现问题，数据库表中显然没有用户名：123
密码：1’ or ‘1’='1 的信息，这种情况就是SQL注入，此时实际上传入的sql语句已经变为：
select * from user_info where user_name=‘123’ and password=‘1’ or ‘1’=‘1’，显然成立。
解决这个问题要重载查询工具的代码，如下：

public static boolean upDate(String sql,Object...arrays) {con = getConnection();PreparedStatement preparedStatement =null;try {preparedStatement = con.prepareStatement(sql);for (int i = 1; i <=arrays.length; i++) {preparedStatement.setObject(i, array[i-1]);//根据传入参数个数进行逐次拼接。}return preparedStatement.executeUpdate()>0;//此时executeUpdate()不用传入sql，因为sql语句已经执行。}catch(SQLException e) {e.printStackTrace();}finally {close(result, preparedStatement, con);}return false;}

在重载该方法时使用了PreparedStatement类，继承于Statement。

public class Login {public static void main(String[] args){Scanner sc = new Scanner(System.in);System.out.println("请输入用户名：");String userName= sc.nextLine();System.out.println("请输入密码：");String password = sc.nextLine();String sql = "select * from user_info where user_name =? and password =?";class RowMapper implements IRowMapper{@Overridepublic void rowMapper(ResultSet res) {try {if (res.next()) {String userName = res.getString("user_name");System.out.println(sql);System.out.println(userName+"登录成功");return;}} catch (SQLException e) {e.printStackTrace();}System.out.println("账号密码错误");}      }IRowMapper rowMapper = new RowMapper();DButil.sel(rowMapper, sql,userName,password);//此处调用重载的sel方法}
}

再次进行SQL注入：

防止SQL注入成功！
2、修改
简单测试下修改中的删除：

public class Update {public static void main(String[] args) {String sql = "delete from user_info";if (DBUtil.update(sql)) {System.out.println("YSE");}else {System.out.println("NO");}}
}

执行结果：YES
为了防止SQL注入导致不受控制的修改表中信息，所以也将upDate()方法进行了重载，重载后如下：

//重载upDate
public static boolean upDate(String sql,Object...arrays) {con = getConnection();PreparedStatement preparedStatement =null;try {preparedStatement = con.prepareStatement(sql);for (int i = 1; i <=arrays.length; i++) {preparedStatement.setObject(i, array[i-1]);}return preparedStatement.executeUpdate()>0;}catch(SQLException e) {e.printStackTrace();}finally {close(result, preparedStatement, con);}return false;
}

调用重载update（）的方法如下

public class Test {public static void main(String[] args){Scanner sc = new Scanner(System.in);System.out.println("请输入用户名：");String userName= sc.nextLine();System.out.println("请输入密码：");String password = sc.nextLine();String sql = "UPDATE user_info SET password = ? WHERE user_name = ? ";if (DButil.upDate(sql,password,userName)) {System.out.println("设置密码成功");}else {System.out.println("设置密码失败");}}
}

该代码演示了用户设置密码的过程，只为了测试SQL注入，实际过程并不这样设置密码。