数据库操作必备技能，用JDBC连接池避免SQL注入-精创网络云防护

帮助文档
数据库操作必备技能，用JDBC连接池避免SQL注入
来源：www.jcwlyf.com浏览：9更新：2025-11-12

在当今的软件开发领域，数据库操作是一个至关重要的环节。无论是小型的Web应用程序，还是大型的企业级系统，都离不开对数据库的增删改查等操作。而在进行数据库操作时，有两个关键的技能是必须掌握的，那就是使用JDBC连接池和避免SQL注入。下面我们将详细探讨这两个方面。

一、JDBC连接池概述

JDBC（Java Database Connectivity）是Java语言中用于执行SQL语句的API，它为Java开发人员提供了一种标准的方法来与各种关系型数据库进行交互。然而，传统的JDBC连接方式存在一些问题。每次进行数据库操作时，都需要创建一个新的数据库连接，操作完成后再关闭连接。这个过程涉及到网络通信、TCP连接建立、数据库认证等一系列操作，会消耗大量的系统资源和时间，尤其是在高并发的场景下，频繁地创建和销毁连接会严重影响系统的性能。

为了解决这个问题，JDBC连接池应运而生。连接池的基本思想是预先创建一定数量的数据库连接，将这些连接存储在一个池中。当应用程序需要进行数据库操作时，直接从连接池中获取一个可用的连接，操作完成后，将连接归还给连接池，而不是直接关闭。这样就避免了频繁创建和销毁连接的开销，提高了系统的性能和响应速度。

二、常见的JDBC连接池

目前，市面上有许多优秀的JDBC连接池实现，下面介绍几种常见的连接池。

1. DBCP（Database Connection Pool）：DBCP是Apache组织提供的一个开源的连接池实现，它是Tomcat服务器默认使用的连接池。DBCP的配置相对简单，性能也比较稳定，适合初学者使用。以下是一个简单的DBCP连接池配置示例：

import org.apache.commons.dbcp2.BasicDataSource;
import java.sql.Connection;
import java.sql.SQLException;

public class DBCPExample {
    private static BasicDataSource dataSource;

    static {
        dataSource = new BasicDataSource();
        dataSource.setDriverClassName("com.mysql.jdbc.Driver");
        dataSource.setUrl("jdbc:mysql://localhost:3306/test");
        dataSource.setUsername("root");
        dataSource.setPassword("password");
        dataSource.setInitialSize(5);
        dataSource.setMaxTotal(10);
    }

    public static Connection getConnection() throws SQLException {
        return dataSource.getConnection();
    }
}

2. C3P0：C3P0是一个开源的JDBC连接池，它具有自动回收空闲连接、自动重连等功能，并且支持JDBC3和JDBC4的标准。C3P0的性能也比较出色，在一些大型项目中被广泛使用。以下是一个简单的C3P0连接池配置示例：

import com.mchange.v2.c3p0.ComboPooledDataSource;
import java.beans.PropertyVetoException;
import java.sql.Connection;
import java.sql.SQLException;

public class C3P0Example {
    private static ComboPooledDataSource dataSource;

    static {
        dataSource = new ComboPooledDataSource();
        try {
            dataSource.setDriverClass("com.mysql.jdbc.Driver");
        } catch (PropertyVetoException e) {
            e.printStackTrace();
        }
        dataSource.setJdbcUrl("jdbc:mysql://localhost:3306/test");
        dataSource.setUser("root");
        dataSource.setPassword("password");
        dataSource.setInitialPoolSize(5);
        dataSource.setMaxPoolSize(10);
    }

    public static Connection getConnection() throws SQLException {
        return dataSource.getConnection();
    }
}

3. HikariCP：HikariCP是一个高性能的JDBC连接池，它的设计目标是提供最快的连接获取速度和最低的资源消耗。HikariCP在性能上比DBCP和C3P0有显著的提升，因此在一些对性能要求较高的项目中被广泛使用。以下是一个简单的HikariCP连接池配置示例：

import com.zaxxer.hikari.HikariConfig;
import com.zaxxer.hikari.HikariDataSource;
import java.sql.Connection;
import java.sql.SQLException;

public class HikariCPExample {
    private static HikariDataSource dataSource;

    static {
        HikariConfig config = new HikariConfig();
        config.setJdbcUrl("jdbc:mysql://localhost:3306/test");
        config.setUsername("root");
        config.setPassword("password");
        config.setDriverClassName("com.mysql.jdbc.Driver");
        config.setMaximumPoolSize(10);
        dataSource = new HikariDataSource(config);
    }

    public static Connection getConnection() throws SQLException {
        return dataSource.getConnection();
    }
}

三、SQL注入问题

SQL注入是一种常见的安全漏洞，攻击者通过在用户输入中添加恶意的SQL代码，来改变原有的SQL语句的逻辑，从而达到非法访问、篡改或删除数据库数据的目的。例如，在一个登录页面中，用户输入的用户名和密码会被拼接到SQL查询语句中，如果没有对用户输入进行有效的过滤和验证，攻击者就可以通过输入特殊的字符来绕过登录验证。以下是一个存在SQL注入风险的示例代码：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;
import java.util.Scanner;

public class SQLInjectionExample {
    public static void main(String[] args) {
        try {
            Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "password");
            Statement stmt = conn.createStatement();
            Scanner scanner = new Scanner(System.in);
            System.out.print("请输入用户名：");
            String username = scanner.nextLine();
            System.out.print("请输入密码：");
            String password = scanner.nextLine();
            String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
            ResultSet rs = stmt.executeQuery(sql);
            if (rs.next()) {
                System.out.println("登录成功！");
            } else {
                System.out.println("登录失败！");
            }
            rs.close();
            stmt.close();
            conn.close();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

在这个示例中，如果攻击者在用户名输入框中输入 " ' OR '1'='1 "，密码随意输入，那么生成的SQL语句就会变成 "SELECT * FROM users WHERE username = '' OR '1'='1' AND password = 'xxx' "，由于 '1'='1' 始终为真，所以这个SQL语句会返回所有的用户记录，攻击者就可以绕过登录验证。

四、使用PreparedStatement避免SQL注入

为了避免SQL注入问题，我们可以使用PreparedStatement来代替Statement。PreparedStatement是JDBC提供的一个预编译的SQL语句对象，它会对SQL语句进行预编译，然后将用户输入的参数作为独立的部分进行处理，而不是直接拼接到SQL语句中。这样就可以有效地防止攻击者通过输入恶意的SQL代码来改变原有的SQL语句的逻辑。以下是使用PreparedStatement改进后的示例代码：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.util.Scanner;

public class AvoidSQLInjectionExample {
    public static void main(String[] args) {
        try {
            Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "password");
            Scanner scanner = new Scanner(System.in);
            System.out.print("请输入用户名：");
            String username = scanner.nextLine();
            System.out.print("请输入密码：");
            String password = scanner.nextLine();
            String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
            PreparedStatement pstmt = conn.prepareStatement(sql);
            pstmt.setString(1, username);
            pstmt.setString(2, password);
            ResultSet rs = pstmt.executeQuery();
            if (rs.next()) {
                System.out.println("登录成功！");
            } else {
                System.out.println("登录失败！");
            }
            rs.close();
            pstmt.close();
            conn.close();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

在这个示例中，我们使用了PreparedStatement来执行SQL查询，通过setString方法将用户输入的用户名和密码作为参数传递给PreparedStatement，这样就可以避免SQL注入问题。

五、结合JDBC连接池和PreparedStatement进行数据库操作

在实际的项目中，我们通常会将JDBC连接池和PreparedStatement结合使用，以提高系统的性能和安全性。以下是一个结合HikariCP连接池和PreparedStatement进行数据库查询的示例代码：

import com.zaxxer.hikari.HikariConfig;
import com.zaxxer.hikari.HikariDataSource;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;

public class DatabaseOperationExample {
    private static HikariDataSource dataSource;

    static {
        HikariConfig config = new HikariConfig();
        config.setJdbcUrl("jdbc:mysql://localhost:3306/test");
        config.setUsername("root");
        config.setPassword("password");
        config.setDriverClassName("com.mysql.jdbc.Driver");
        config.setMaximumPoolSize(10);
        dataSource = new HikariDataSource(config);
    }

    public static void main(String[] args) {
        try (Connection conn = dataSource.getConnection()) {
            String sql = "SELECT * FROM users WHERE age > ?";
            PreparedStatement pstmt = conn.prepareStatement(sql);
            pstmt.setInt(1, 20);
            ResultSet rs = pstmt.executeQuery();
            while (rs.next()) {
                System.out.println("用户名：" + rs.getString("username") + "，年龄：" + rs.getInt("age"));
            }
            rs.close();
            pstmt.close();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

在这个示例中，我们使用了HikariCP连接池来获取数据库连接，使用PreparedStatement来执行SQL查询，既提高了系统的性能，又避免了SQL注入问题。

综上所述，掌握JDBC连接池和避免SQL注入是数据库操作中必备的技能。通过使用连接池可以提高系统的性能，通过使用PreparedStatement可以提高系统的安全性。在实际的项目中，我们应该合理地选择和配置连接池，并始终使用PreparedStatement来执行SQL语句，以确保系统的稳定和安全。