JDBC查询

为什么要用PreparedStatement？

PreparedStatement是预编译的SQL语句对象，它不仅能提高SQL执行效率，更重要的是能防止SQL注入攻击，保护数据库安全。

PreparedStatement vs Statement对比

// 危险！SQL注入风险
String sql = "SELECT * FROM users WHERE name = '" + username + "'";
// 如果username = "'; DROP TABLE users; --"，整个表都没了！

// 安全！使用PreparedStatement
String sql = "SELECT * FROM users WHERE name = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setString(1, username);  // 自动转义

PreparedStatement完整使用流程

JDBC查询步骤:

1. 编写SQL（使用?作为占位符）
   String sql = "SELECT * FROM users WHERE age > ? AND status = ?";

2. 预编译SQL（创建PreparedStatement）
   PreparedStatement ps = conn.prepareStatement(sql);

3. 绑定参数（按顺序设置?的值）
   ps.setInt(1, 18);         // 第一个?的值
   ps.setString(2, "active"); // 第二个?的值

4. 执行查询
   ResultSet rs = ps.executeQuery();

5. 处理结果
   while (rs.next()) {
       String name = rs.getString("name");
       // ...
   }

6. 关闭资源
   rs.close();
   ps.close();

完整查询示例

import java.sql.*;
import java.util.ArrayList;
import java.util.List;

public class JDBCQueryDemo {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/mydb";
        String user = "root";
        String password = "123456";

        String sql = "SELECT id, name, email, age, created_at " +
                     "FROM users WHERE age >= ? AND status = ? " +
                     "ORDER BY created_at DESC LIMIT ?";

        try (Connection conn = DriverManager.getConnection(url, user, password);
             PreparedStatement ps = conn.prepareStatement(sql)) {

            // 设置参数
            ps.setInt(1, 18);           // 年龄 >= 18
            ps.setString(2, "active");  // 状态是active
            ps.setInt(3, 10);           // 最多返回10条

            // 执行查询
            try (ResultSet rs = ps.executeQuery()) {
                List users = new ArrayList<>();

                while (rs.next()) {
                    User user = new User();
                    user.setId(rs.getLong("id"));
                    user.setName(rs.getString("name"));
                    user.setEmail(rs.getString("email"));
                    user.setAge(rs.getInt("age"));
                    user.setCreatedAt(rs.getTimestamp("created_at"));
                    users.add(user);
                }

                System.out.println("查询到 " + users.size() + " 条用户记录");
                users.forEach(System.out::println);
            }

        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

// User类
class User {
    private Long id;
    private String name;
    private String email;
    private int age;
    private Timestamp createdAt;

    // getters, setters, toString省略
}

ResultSet处理详解

ResultSet基本操作

// 游标移动（默认只在第一行之前）
rs.next();      // 移动到下一行，返回是否有数据
rs.previous();  // 移动到上一行（需要支持滚动）
rs.first();     // 移动到第一行
rs.last();      // 移动到最后一行
rs.absolute(5); // 移动到第5行

// 获取数据
while (rs.next()) {
    // 按列名获取（推荐，代码更清晰）
    String name = rs.getString("name");
    int age = rs.getInt("age");

    // 按列索引获取（从1开始）
    String name2 = rs.getString(1);
    int age2 = rs.getInt(2);
}

各种数据类型的获取

while (rs.next()) {
    // 基本类型
    int id = rs.getInt("id");
    long big = rs.getLong("id");
    double price = rs.getDouble("price");
    boolean active = rs.getBoolean("status");

    // 字符串
    String name = rs.getString("name");

    // 日期时间（推荐使用Java 8+的LocalDateTime）
    java.sql.Date sqlDate = rs.getDate("birth_date");        // java.sql.Date
    java.sql.Time sqlTime = rs.getTime("create_time");      // java.sql.Time
    java.sql.Timestamp timestamp = rs.getTimestamp("create_time"); // 日期+时间

    // Java 8+ 推荐
    LocalDate localDate = rs.getObject("birth_date", LocalDate.class);
    LocalDateTime localDateTime = rs.getObject("create_time", LocalDateTime.class);

    // 大数据
    String content = rs.getString("description");  // 短文本
    InputStream is = rs.getBinaryStream("file_data"); // 二进制流
}

参数设置方法一览

常见的SQL查询模式

1. 查询单条记录

public User findById(Long id) {
    String sql = "SELECT * FROM users WHERE id = ?";
    try (Connection conn = getConnection();
         PreparedStatement ps = conn.prepareStatement(sql)) {

        ps.setLong(1, id);

        try (ResultSet rs = ps.executeQuery()) {
            if (rs.next()) {
                return mapToUser(rs);
            }
        }
    }
    return null;  // 未找到
}

private User mapToUser(ResultSet rs) throws SQLException {
    User user = new User();
    user.setId(rs.getLong("id"));
    user.setName(rs.getString("name"));
    user.setEmail(rs.getString("email"));
    user.setAge(rs.getInt("age"));
    return user;
}

2. 模糊查询

public List searchByName(String keyword) {
    String sql = "SELECT * FROM users WHERE name LIKE ?";
    try (Connection conn = getConnection();
         PreparedStatement ps = conn.prepareStatement(sql)) {

        ps.setString(1, "%" + keyword + "%");  // LIKE需要自己加%

        List results = new ArrayList<>();
        try (ResultSet rs = ps.executeQuery()) {
            while (rs.next()) {
                results.add(mapToUser(rs));
            }
        }
        return results;
    }
}

3. 批量查询（IN条件）

public List findByIds(List ids) {
    if (ids == null || ids.isEmpty()) {
        return new ArrayList<>();
    }

    // 构建 ?,,? 形式的占位符
    String placeholders = ids.stream()
        .map(id -> "?")
        .collect(Collectors.joining(","));

    String sql = "SELECT * FROM users WHERE id IN (" + placeholders + ")";

    try (Connection conn = getConnection();
         PreparedStatement ps = conn.prepareStatement(sql)) {

        // 设置每个参数
        for (int i = 0; i < ids.size(); i++) {
            ps.setLong(i + 1, ids.get(i));
        }

        List results = new ArrayList<>();
        try (ResultSet rs = ps.executeQuery()) {
            while (rs.next()) {
                results.add(mapToUser(rs));
            }
        }
        return results;
    }
}

注意事项

小结