关于Spring Framework应用程序中JDBC逻辑的一些信息

Question

我正在学习如何在Spring应用程序中使用JDBC,但我对此有些怀疑。

因此，让我解释一下我对一个实际例子的怀疑：

如果我有一个实现我的DAO接口的类，并且这个类包含以下方法，在我的数据库的学生表中插入一个新行：

public void create(String name, Integer age) {
    String SQL = "insert into Student (name, age) values (?, ?)";

    jdbcTemplateObject.update(SQL, name, age);
    System.out.println("Created Record Name = " + name + " Age = " + age);
    return;
}

好的...我认为SQL字符串Rapper呈现了我的SQL查询，必须执行这些查询才能在我的表中插入新行

我不明白这段代码到底是什么意思：值（？，？）

我认为，当我在JdbcTemplate对象上调用update（）方法时，向它传递SQL查询、名称和*AGE值这些？占位符被替换为这些值。

对吗？

替换这些占位符的是update（）方法吗？

我也读到过使用这些占位符是为了让我不必担心转义我的值...转义值到底是什么意思？

最后一个问题是关于PreparedStatment的使用...阅读我读过的Spring文档，我也可以将PreparedStatment传递给update（）方法...有什么区别？在这种情况下，是Spring使用SQL字符串和2输入参数创建了一个新的PreparedStatment，还是我使用了一些不同的东西？

Answer 1

主要是为了避免SQL注入。

如果你只是这么做：

"insert into Student (name, age) values ('"+name+"', "+age+")"

考虑一下如果name是“Mary',3）,('john',13）--”会发生什么

insert into Student (name, age) values ('mary', 3), ('john', 13)--', 24)

insert into Student (name, age) values ('mary', 3), ('john', 13)

将插入2个记录。

当然，您可以转义或过滤名称字符串，但这很容易出错，而且很容易忘记并使某些查询易受攻击，不妨使用准备好的语句来实现这一点。

转义意味着在任何SQL元字符之前预置一个转义字符，以使其含义发生变化。

insert into Student (name, age) values ('\', 3), (\'john\', 13)--', 24)