MyBatis框架使用介绍

其他 2018-07-16 16:15:26 阅读次数: 0

今天系统性的介绍一下半自动化orm框架mybatis的基本使用:主要内容如下

一 知识点内容

& Mybatis介绍

& Mybatis增删改查

& SQL注入问题介绍

& Mybatis xml与注解实现

 二 Mybatis介绍

MyBatis是支持普通SQL查询，存储过程和高级映射的优秀持久层框架。MyBatis消除了几乎所有的JDBC代码和参数的手工设置以及对结果集的检索封装。MyBatis可以使用简单的XML或注解用于配置和原始映射，将接口和Java的POJO（Plain Old Java Objects，普通的Java对象）映射成数库中的记录.JDBC- àMyBatis-àHibernate

2.2 Mybatis环境搭建

2.2.1添加Maven坐标

      <dependencies>

           <!-- https://mvnrepository.com/artifact/org.mybatis/mybatis -->

           <dependency>

                 <groupId>org.mybatis</groupId>

                 <artifactId>mybatis</artifactId>

                 <version>3.4.4</version>

           </dependency>

           <!-- https://mvnrepository.com/artifact/mysql/mysql-connector-java -->

           <dependency>

                 <groupId>mysql</groupId>

                 <artifactId>mysql-connector-java</artifactId>

                 <version>5.1.21</version>

           </dependency>

      </dependencies>

2.2.2建表

CREATE TABLE users(id INT PRIMARY KEY AUTO_INCREMENT, NAME VARCHAR(20), age INT);

INSERT INTO users(NAME, age) VALUES('Tom', 12);

INSERT INTO users(NAME, age) VALUES('Jack', 11);

2.2.3添加mybatis配置文件

<?xml version="1.0" encoding="UTF-8"?>

<!DOCTYPE configuration PUBLIC "-//mybatis.org//DTD Config 3.0//EN" "http://mybatis.org/dtd/mybatis-3-config.dtd">

<configuration>

    <environments default="development">

        <environment id="development">

            <transactionManager type="JDBC" />

            <dataSource type="POOLED">

                <property name="driver" value="com.mysql.jdbc.Driver" />

                <property name="url" value="jdbc:mysql://localhost:3306/test" />

                <property name="username" value="root" />

                <property name="password" value="root" />

            </dataSource>

        </environment>

    </environments>

</configuration>

2.2.4定义表的实体类

package com.entity;

publicclass User {

      privateint id;

      private String name;

      privateint age;

    //get,set方法

}


2.2.5定义userMapper接口

package com.itmayiedu.mapper;

import com.itmayiedu.entity.User;

publicinterface UserMapper {

    public User getUser(intid);

}

2.2.6定义操作users表的sql映射文件userMapper.xml

<?xml version="1.0" encoding="UTF-8" ?>

<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">

<mapper namespace="com.itmayiedu.mapper.UserMapper">

    <select id="getUser" parameterType="int" resultType="com.itmayiedu.entity.User">

       SELECT *

       FROM users where id =#{id}

    </select>

</mapper>

2.2.7mybatis.xml文件中加载配置文件

<mappers>

<mapper resource="mapper/userMapper.xml" />

</mappers>

2.2.8mybatis.xml测试方法

import java.io.File;

import java.io.IOException;

import java.io.Reader;

import org.apache.ibatis.io.Resources;

import org.apache.ibatis.session.SqlSession;

import org.apache.ibatis.session.SqlSessionFactory;

import org.apache.ibatis.session.SqlSessionFactoryBuilder;

import com.itmayiedu.entity.User;

publicclass TestMybatis {

    publicstaticvoid main(String[] args) throws IOException {

       String resource = "mybatis.xml";

       // 读取配置文件

       Reader reader = Resources.getResourceAsReader(resource);

       // 获取会话工厂

       SqlSessionFactory sqlSessionFactory = new SqlSessionFactoryBuilder().build(reader);

       SqlSession openSession = sqlSessionFactory.openSession();

       // 查询

       String sql = "com.itmayiedu.mapper.UserMapper.getUser";

       // 调用api查询

       User user = openSession.selectOne(sql, 1);

       System.out.println(user.toString());

    }

}

2.2.3增加案例

Xml:

  <insert id="addUser" parameterType="com.itmayiedu.entity.User" >

   

    INSERT INTO users(NAME, age) VALUES(#{name}, #{age});

    </insert>

代码:

staticpublicvoid add() throws IOException{

           String resource = "mybatis.xml";

           // 读取配置文件

           Reader reader = Resources.getResourceAsReader(resource);

           // 获取会话工厂

           SqlSessionFactory sqlSessionFactory = new SqlSessionFactoryBuilder().build(reader);

           SqlSession openSession = sqlSessionFactory.openSession();

           // 查询

           String sql = "com.itmayiedu.mapper.UserMapper.addUser";

           // 调用api查询

           User userPa = new User();

           userPa.setAge(19);

           userPa.setName("张三");

           intreuslt = openSession.insert(sql, userPa);

           System.out.println(reuslt);

      }

2.2.4 删除

Xml:

 <delete id="delUser" parameterType="int" >

      delete from users where id=#{id}

    </delete>

代码:

      staticpublicvoid delUser() throws IOException{

           String resource = "mybatis.xml";

           // 读取配置文件

           Reader reader = Resources.getResourceAsReader(resource);

           // 获取会话工厂

           SqlSessionFactory sqlSessionFactory = new SqlSessionFactoryBuilder().build(reader);

           SqlSession openSession = sqlSessionFactory.openSession();

           // 查询

           String sql = "com.itmayiedu.mapper.UserMapper.delUser";

           intreuslt = openSession.delete(sql,1);

           System.out.println(reuslt);

      }

三:sql注入案例


3.1创建表+测试数据

create table user_table( 

    id      int Primary key, 

    username    varchar(30), 

    password    varchar(30) 

); 

insert into user_table values(1,'yushengjun-1','12345'); 

insert into user_table values(2,'yushengjun-2','12345'); 

3.2 jdbc进行加载

Stringusername = "yushengjun-1";

Stringpassword = "12345";

Stringsql = "SELECT id,username FROM user_table WHERE " + "username='" + username + "'AND " + "password='"

                      + password + "'";

Class.forName("com.mysql.jdbc.Driver");

Connection con = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "root");

PreparedStatement stat = con.prepareStatement(sql);

System.out.println(stat.toString());

ResultSet rs = stat.executeQuery();

while (rs.next()) {

Stringid = rs.getString(1);

Stringname = rs.getString(2);

System.out.println("id:" + id + "---name:" + name);

}

3.3将username的值设置为

username=' OR 1=1 --  或者usernameor 1='1

因为--表示SQL注释，因此后面语句忽略；

因为1=1恒成立，因此 username='' OR1=1  恒成立，因此SQL语句等同于：

3.4sql注入解决办法

第一步：编译sql 

第二步：执行sql

优点：能预编译sql语句

String username = "username='  OR 1=1 -- ";

           String password = "12345";

           // String sql = "SELECT id,username FROM user_table WHERE " +

           // "username='" + username + "'AND " + "password='"

            // + password + "'";

           String sql = "SELECT id,username FROM user_table WHERE username=? AND password=?";

           Class.forName("com.mysql.jdbc.Driver");

           Connection con = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "root");

           PreparedStatement stat = con.prepareStatement(sql);

           stat.setString(1, username);

           stat.setString(2, password);

           System.out.println(stat.toString());

           ResultSet rs = stat.executeQuery();

           while (rs.next()) {

                 String id = rs.getString(1);

                 String name = rs.getString(2);

                 System.out.println("id:" + id + "---name:" + name);

           }

3.4 mybatis中#与$区别

动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：#{} 以及 ${}。

在下面的语句中，如果 username 的值为 zhangsan，则两种方式无任何区别：

select * from user where name = #{name};

select * from user where name = ${name};

其解析之后的结果均为

select * from user where name = 'zhangsan';

　但是 #{} 和 ${} 在预编译中的处理是不一样的。#{} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 sql 语句：

select * from user where name = ?;

而 ${} 则只是简单的字符串替换，在动态解析阶段，该 sql 语句会被解析成

select * fromuser where name = 'zhangsan';

以上，#{} 的参数替换是发生在 DBMS 中，而 ${} 则发生在动态解析过程中。

那么，在使用过程中我们应该使用哪种方式呢？

答案是，优先使用 #{}。因为 ${} 会导致 sql 注入的问题。看下面的例子：

select * from ${tableName} where name =#{name}

在这个例子中，如果表名为

 user; delete user; -- 

　　则动态解析之后 sql 如下：

select * from user; delete user; -- wherename = ?;

--之后的语句被注释掉，而原本查询用户的语句变成了查询所有用户信息+删除用户表的语句，会对数据库造成重大损伤，极大可能导致服务器宕机。

但是表名用参数传递进来的时候，只能使用 ${} ，具体原因可以自己做个猜测，去验证。这也提醒我们在这种用法中要小心sql注入的问题。


3.4.2创建UserTable

package com.itmayiedu.mapper;

import com.itmayiedu.entity.UserTable;

publicinterface UserTableMapper {

      public UserTable login(UserTable userTable);

}

3.4.3userTableMapper.xml

<?xml version="1.0" encoding="UTF-8" ?>

<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">

<mapper namespace="com.itmayiedu.mapper.UserTableMapper">

      <select id="login" parameterType="com.itmayiedu.entity.UserTable"

           resultType="com.itmayiedu.entity.UserTable">

           SELECT id ,username as userName FROM user_table WHERE

           username=${userName} AND password=${passWord}

      </select>

 

</mapper>

3.4.4 测试SQL注入

publicclass TestLoginMybatis3 {

 

      publicstaticvoid main(String[] args) throws IOException, SQLException, ClassNotFoundException {

 

           String resource = "mybatis.xml";

           // 读取配置文件

           Reader reader = Resources.getResourceAsReader(resource);

           // 获取会话工厂

           SqlSessionFactory sqlSessionFactory = new SqlSessionFactoryBuilder().build(reader);

           SqlSession openSession = sqlSessionFactory.openSession();

           // 查询

           String sql = "com.itmayiedu.mapper.UserTableMapper.login";

           // 调用api查询

           UserTable userTable = new UserTable();

           userTable.setUserName("''  OR 1=1 -- ");

           userTable.setPassWord("12345");

           List<UserTable> listUserTable = openSession.selectList(sql, userTable);

           for (UserTable ub : listUserTable) {

                 System.out.println(ub.getUserName());

           }

      }

}

四:Mybatis 注解使用

Mybatis提供了增删改查注解、@select@delete @update

4.1 建立注解Mapper

import org.apache.ibatis.annotations.Param;

import org.apache.ibatis.annotations.Select;

import com.itmayiedu.entity.User;

publicinterface UserTestMapper {

      @Select("select * from users where id = ${id};")

      public User getUser(@Param("id") String id);

}

4.2 加入mybatis.xml

<mapper class="com.itmayiedu.mapper.UserTestMapper" />

4.3 运行测试

publicclass TestMybatis3 {

      publicstaticvoid main(String[] args) throws IOException {

           String resource = "mybatis.xml";

           // 读取配置文件

           Reader reader = Resources.getResourceAsReader(resource);

           // 获取会话工厂

           SqlSessionFactory sqlSessionFactory = new SqlSessionFactoryBuilder().build(reader);

           SqlSession openSession = sqlSessionFactory.openSession();

           // 调用api查询

           UserTestMapper userTestMapper=openSession.getMapper(UserTestMapper.class);

           System.out.println(userTestMapper.getUser("2"));

      }

}








猜你喜欢

转载自blog.csdn.net/qq_18603599/article/details/80927936
今日推荐
TIOBE 5 月榜单：Fortran “复活”进入 Top 10
GCC 14.1 发布
面壁智能发布 Eurux-8x22B 开源大模型 —— 堪称「理科状元」
开源日报 | 谷歌扶持鸿蒙上位；开源Rabbit R1；Docker加持的安卓手机；微软的焦虑和野心；海尔电器把开放平台关了
中国码农的“35岁魔咒”
蘭雅 CorelDRAW 插件 2024.5.1 国际劳动节版，免费下载
Arc Browser for Windows 1.0 正式 GA
90后程序员开发视频搬运软件、不到一年获利超 700 万，结局很刑！
周排行
Java自定义时间格式
同步整形电路
在开发中最最最常用的字符串的属性大集合
Linux 查看端口占用并杀掉
Java基础四：ArrayList
多线程之死锁就是这么简单
mysql 基础命令集
awk 命令详解
Centos6.3编译安装nginx+php步骤
OCR （Optical Character Recognition，光学字符识别）
每日归档
更多
2024-05-08(42)
2024-05-07(14)
2024-05-06(40)
2024-05-05(0)
2024-05-04(7)
2024-05-03(19)
2024-05-02(0)
2024-05-01(4)
2024-04-30(1)
2024-04-29(40)

代码天地 © 2018 codetd.com

境外服务器   最新电视剧2022