在軟件開發中，數據庫安全與高效訪問一直是關鍵課題。本文將圍繞 SQL 注入問題的原理、解決方案，以及 JDBC 開發中的工具類演進和連接池技術展開探討，結合實際代碼示例，為開發者提供清晰的技術實踐指南。

SQL 注入問題的核心原理與典型場景

運算符優先級引發的安全漏洞

SQL 注入問題中，AND 和 OR 的優先級差異是一個容易被忽視的風險點。AND 的運算優先級高于 OR，這一特性若被惡意利用，會導致 SQL 語句的邏輯被篡改。例如，當用戶輸入 “aaa'or'1=1” 作為用戶名時，拼接后的 SQL 語句可能變為 “SELECT * FROM users WHERE username = 'aaa'or'1=1' AND password = '123'”。由于 “1=1” 恒成立，且 OR 的存在使得整個條件為真，攻擊者無需正確密碼即可繞過認證。

字符串拼接：注入漏

SQL 注入產生的根本原因是直接使用字符串拼接方式構建 SQL 語句。這種方式使得用戶輸入的內容直接參與 SQL 語句的結構組成，若用戶輸入包含 SQL 關鍵字或特殊字符，就會改變語句的原意。如在登錄功能中，若采用 “SELECT * FROM users WHERE username = '” + username + “' AND password = '” + password + “'” 的拼接方式，當用戶名輸入 “aaa'or'1=1” 時，語句會被解析為無條件查詢，導致安全漏洞。

?

預編譯技術：SQL 注入的高效解決方案

PreparedStatement 的工作機制

解決 SQL 注入問題的核心方案是采用預編譯的 SQL 語句，通過 PreparedStatement 對象實現。其原理是將 SQL 語句的結構與參數分離，先對 SQL 語句進行編譯，格式固定后，再為占位符 “?” 傳入具體值。數據庫會將這些值作為純粹的數據處理，而非 SQL 代碼，從而避免了關鍵字被惡意解析的風險。

代碼實現示例

public class JdbcTest4 {public String login2(String username, String password) {// 預編譯SQL語句，使用占位符String sql = "SELECT * FROM t_user WHERE username = ? AND password = ?";try (Connection conn = JdbcUtils.getConnection();PreparedStatement stmt = conn.prepareStatement(sql)) {// 為占位符賦值stmt.setString(1, username);stmt.setString(2, password);ResultSet rs = stmt.executeQuery();if (rs.next()) {return "登錄成功";}} catch (SQLException e) {e.printStackTrace();}return "登錄失敗";}
}

JDBC 工具類的演進與實踐優化

?為啥需要工具類呢？ 因為在上個案例中的dao層的代碼，很多都是重復的

1. 數據庫連接的創建

每次進行數據庫操作前，都需要創建數據庫連接。例如：

Connection conn = null;
try {// 加載驅動類Class.forName("com.mysql.jdbc.Driver");// 創建連接conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/mydb", "username", "password");
} catch (ClassNotFoundException | SQLException e) {e.printStackTrace();
}

這段代碼在每個需要訪問數據庫的方法中幾乎都會重復出現。

2. SQL 語句的執行和結果處理

執行查詢、插入、更新或刪除操作時，需要編寫類似的代碼結構：

Statement stmt = null;
ResultSet rs = null;
try {// 創建Statement對象stmt = conn.createStatement();// 執行SQL查詢rs = stmt.executeQuery("SELECT * FROM users");// 處理結果集while (rs.next()) {// 提取數據String username = rs.getString("username");// ...}
} catch (SQLException e) {e.printStackTrace();
}

無論執行何種 SQL 語句，都需要創建 Statement 對象、處理異常和結果集。

3. 資源的關閉

操作完成后，需要關閉 ResultSet、Statement 和 Connection 對象：

finally {// 關閉資源（順序：ResultSet → Statement → Connection）if (rs != null) {try {rs.close();} catch (SQLException e) {e.printStackTrace();}}if (stmt != null) {try {stmt.close();} catch (SQLException e) {e.printStackTrace();}}if (conn != null) {try {conn.close();} catch (SQLException e) {e.printStackTrace();}}
}

這段關閉資源的代碼必須在每個數據庫操作中重復編寫，且順序不能錯（先關閉 ResultSet，再關閉 Statement，最后關閉 Connection）。

1.0 版本：硬編碼與局限性

早期的 JDBC 1.0 版本工具類中，驅動注冊、數據庫連接地址、用戶名和密碼等信息均為硬編碼方式。例如：

DriverManager.registerDriver(new Driver());
conn = DriverManager.getConnection("jdbc:mysql:///jdbcdemo", "root", "root");

這種方式存在明顯缺陷，當數據庫配置發生變化時，需要修改代碼并重新部署，靈活性和可維護性較差。

?

2.0 版本：屬性文件與動態配置

改進后的 2.0 版本通過屬性文件實現配置信息的動態讀取，提高了工具類的通用性。以 db.properties 文件為例：

driverClass=com.mysql.jdbc.Driver
url=jdbc:mysql:///jdbcdemo
username=root
password=root

代碼中通過靜態代碼塊加載屬性文件：

public class JdbcUtils {private static final String driverClass;private static final String url;private static final String username;private static final String password;static {Properties pro = new Properties();InputStream inputStream = JdbcUtils.class.getResourceAsStream("/db.properties");pro.load(inputStream);driverClass = pro.getProperty("driverClass");url = pro.getProperty("url");username = pro.getProperty("username");password = pro.getProperty("password");// 加載驅動Class.forName(driverClass);}
}

final 靜態常量一開始就要有賦值，賦值后不可改變。?static代碼塊在方法前啟動。

這種方式實現了配置與代碼的分離，便于維護和擴展。

連接池技術：提升數據庫訪問效率的關鍵

池化思想的核心價值

連接池技術基于 “資源復用” 的池化思想，其核心優勢在于：

• 避免頻繁創建和銷毀數據庫連接的開銷，提升系統性能。
• 控制連接數量，防止數據庫因連接過多而負載過高。
• 實現連接的統一管理和回收，提高資源利用率。

連接池的工作機制

連接池的工作流程如下：

1. 初始化時創建一定數量的連接放入池中（如 initialSize=5）。
2. 應用程序需要連接時，從池中獲取可用連接，若池中空閑連接不足，根據配置規則（如 maxWait=3000）等待或創建新連接（不超過最大連接數）。
3. 使用完畢后，將連接放回池中，而非直接關閉，以供后續使用。
4. 池化管理會自動維護連接狀態，清理失效連接，保持合理的連接數量（如 minIdle=3，maxIdle=6）。

以 Druid 連接池為例，其配置文件如下：

driverClassName=com.mysql.jdbc.Driver
url=jdbc:mysql:///jdbcdemo
username=root
password=root
initialSize=5
maxWait=3000
maxIdle=6
minIdle=3

?