nt.executeBatch();
preparedStatement.close();
//执行完后手动提交事务
connection.commit();
//打开自动提交
connection.setAutoCommit(true);
connection.close();
}
11、SQL 注入的防范
SQL 注入是用户利用某些系统没有对输入数据进行充分的检查，从而进行恶意破坏的行为。
1、statement存在sql注入攻击问题，例如登陆用户名采用' or 1=1 or username=‘
2、对于防范 SQL 注入，可以采用PreparedStatement取代Statement。
备注：本例只是最基本的防止SQL注入方式，其他情况还请查阅资料。
12、PreparedStatement
PreperedStatement是Statement的孩子，它的实例对象可以通过调用Connection.preparedStatement()方法获得，相对于Statement对象而言的优势：
(1) 防止SQL注入：PreperedStatement可以避免SQL注入的问题。
(2) 预编译SQL语句：Statement会使数据库频繁编译SQL，可能造成数据库缓冲区溢出。PreparedStatement 可对SQL进行预编译，从而提高数据库的执行效率。
(3) 使用占位符简化语句：并且PreperedStatement对于sql中的参数，允许使用占位符的形式进行替换，简化sql语句的编写。 （例如多次循环插入数据）
?
?
public List
getAll(){
Connection conn = null;
PreparedStatement st = null;
ResultSet rs = null;
try{
conn = JdbcUtils.getConnection();
String sql = "select * from customer";
st = conn.prepareStatement(sql);
rs = st.executeQuery();
List list = new ArrayList();
while(rs.next()){
Customer c = new Customer();
c.setBirthday(rs.getDate("birthday"));
c.setCellphone(rs.getString("cellphone"));
c.setDescription(rs.getString("description"));
c.setEmail(rs.getString("email"));
c.setGender(rs.getString("gender"));
c.setId(rs.getString("id"));
c.setName(rs.getString("name"));
c.setPreference(rs.getString("preference"));
c.setType(rs.getString("type"));
list.add(c);
}
return list;
}catch (Exception e) {
throw new DaoException(e);
}finally{
JdbcUtils.release(conn, st, rs);
}
}