处理 jdbc 时关闭连接的最佳做法是什么

Question

我使用prepareStatement() 来防止sql 注入。我现在遇到的问题是，使用下面的方法，我可以执行getConnection().prepareStatement() 然后构建我的查询，但我需要尝试捕获对getConnection() 的每次调用并在finally 块中关闭它。 createStatement().execute() 似乎更好，因为我可以让客户端传入查询然后在一个地方处理 try-catch-finally，但它不会阻止 sql 注入。通常最好的做法是什么？或者有没有其他方法来构建可以防止sql注入的查询？

private static Connection getConnection() throws SQLException, URISyntaxException {
    URI dbUri = new URI(System.getenv("DATABASE_URL"));

    String username = dbUri.getUserInfo().split(":")[0];
    String password = dbUri.getUserInfo().split(":")[1];
    String dbUrl = "jdbc:postgresql://" + dbUri.getHost() + ':' + dbUri.getPort() + dbUri.getPath();

    return DriverManager.getConnection(dbUrl, username, password);
}

Answer 1

我会使用连接池而不是每次都创建连接并关闭。

我们应该遵循几个步骤来使用 tomcat 服务器创建连接池

步骤-1。使用数据库连接详细信息更新 TOMCAT_ROOT_DIR\conf\server.xml 文件，如下所示：

<?xml version='1.0' encoding='utf-8'?>
...
  <GlobalNamingResources>
    ...
    <Resource name="jdbc/JCGExampleDB" 
              global="jdbc/JCGExampleDB"
              factory="org.apache.tomcat.jdbc.pool.DataSourceFactory"
              auth="Container"
              type="javax.sql.DataSource"              
              username="test"
              password="test"
              driverClassName="com.mysql.jdbc.Driver"
              description="JCG Example MySQL database."
              url="jdbc:mysql://localhost:3306/JCGExampleDB"
              maxTotal="10"
              maxIdle="10"
              maxWaitMillis="10000"
              removeAbandonedTimeout="300"            
              defaultAutoCommit="true" />
     ...
  </GlobalNamingResources>

步骤-2： 使用 Spring 的 JdbcTemplate - 您可以编写数据库连接实用程序类并获取连接，如下所示（此步骤可以通过多种方式完成......如 context.xml 文件或 web.xml 文件或如下所示）

@Bean
    public JdbcTemplate jdbcTemplate() {
        return new JdbcTemplate(dataSource());
    }

    @Bean
    public DataSource dataSource() {
        DataSource dataSource = new com.mchange.v2.c3p0.ComboPooledDataSource();
        try {
            JndiTemplate jndiTemplate = new JndiTemplate();
            dataSource = (DataSource)jndiTemplate.lookup("java:comp/env/jdbc/JCGExampleDB");
            } catch (NamingException e) {
            log.error("Unable to configure datasource: " + e.getStackTrace());
        }
        return dataSource;
    }

编辑1： 使用 Singleton 类 - 没有 JdbcTemplate：您可以在需要时从 Singleton 类获取连接。

public class DatabaseConnectionManager {

    DataSource ds;

    public void init() {
        InitialContext initialContext = new InitialContext();
        ds = (javax.sql.DataSource)initialContext.lookup("jdbc/JCGExampleDB");
    }

    public Connection getConnection() {
        if(ds == null) init();

        return ds.getConnection();
    }
}

希望这会有所帮助...