Java JDBC 核心接口与防注入实战

注意这里使用了 try-with-resources 语法，它能确保在操作结束后自动关闭资源，避免内存泄漏。

防止 SQL 注入

直接使用 Statement 拼接用户输入存在严重的 SQL 注入风险。例如，如果用户名包含 ' OR '1'='1，可能导致数据泄露。推荐使用 PreparedStatement 进行参数化查询。

import java.sql.*;

public class SecureQuery {
    public static void main(String[] args) throws SQLException {
        String url = "jdbc:mysql://localhost:3306/test";
        String user = "root";
        String password = "123456";

        try (Connection conn = DriverManager.getConnection(url, user, password)) {
            // 使用 ? 占位符代替直接拼接
            String sql = "SELECT * FROM stu WHERE sid=? AND sname=?";
            try (PreparedStatement preStmt = conn.prepareStatement(sql)) {
                preStmt.setString(1, "S_1001");
                preStmt.setString(2, "liuYi");

                try (ResultSet rs = preStmt.executeQuery()) {
                    while (rs.next()) {
                        System.out.println(rs.getString(1) + "\t" +
                                         rs.getString(2));
                    }
                }
            }
        }
    }
}

预编译语句会在数据库层面先编译 SQL 模板，再传入参数值，从而彻底杜绝了因特殊字符导致的注入攻击。在实际开发中，应优先采用这种方式处理动态查询。