① Java資料庫連接的建立連接
Connection 對象代表與資料庫的連接。連接過程包括所執行的 sql 語句和在該連接上所返回的結果。一個應用程序可與單個資料庫有一個或多個連接，或者可與許多資料庫有連接。
⒈ 打開連接
與資料庫建立連接的標准方法是調用DriverManager.getConnection方法。該方法接受含有某個URL的字元串。DriverManager類（即所謂的JDBC管理層）將嘗試找到可與那個URL所代表的資料庫進行連接的驅動程序。DriverManager類存有已注冊的Driver類的清單。當調用方法getConnection時，它將檢查清單中的每個驅動程序，直到找到可與URL中指定的資料庫進行連接的驅動程序為止。Driver的方法connect使用這個URL來建立實際的連接。
用戶可繞過JDBC管理層直接調用Driver方法。這在以下特殊情況下將很有用：當兩個驅動器可同時連接到資料庫中，而用戶需要明確地選用其中特定的驅動器。但一般情況下，讓DriverManager類處理打開連接這種事將更為簡單。
下述代碼顯示如何打開一個與位於URL"jdbc：odbc：wombat"的資料庫的連接。所用的用戶標識符為"freely"，口令為"ec"：
String url = "jdbc：odbc：wombat"；
Connection con = DriverManager.getConnection（url， "freely"， "ec"）；
⒉ 一般用法的URL
由於URL常引起混淆，我們將先對一般URL作簡單說明，然後再討論JDBCURL。URL（統一資源定位符）提供在Internet上定位資源所需的信息。可將它想像為一個地址。URL的第一部份指定了訪問信息所用的協議，後面總是跟著冒號。常用的協議有"ftp"（代表"文件傳輸協議"）和"http"（代表"超文本傳輸協議"）。如果協議是"file"，表示資源是在某個本地文件系統上而非在Internet上（下例用於表示我們所描述的部分；它並非URL的組成部分）。
URL的其餘部份（冒號後面的）給出了數據資源所處位置的有關信息。如果協議是file，則URL的其餘部份是文件的路徑。對於ftp和http協議，URL的其餘部份標識了主機並可選地給出某個更詳盡的地址路徑。例如，以下是JavaSoft主頁的URL。該URL只標識了主機：從該主頁開始瀏覽，就可以進到許多其它的網頁中，其中之一就是JDBC主頁。
⒊ JDBC URL
JDBC URL提供了一種標識資料庫的方法，可以使相應的驅動程序能識別該資料庫並與之建立連接。實際上，驅動程序編程員將決定用什麼JDBC URL來標識特定的驅動程序。用戶不必關心如何來形成JDBC URL；他們只須使用與所用的驅動程序一起提供的URL即可。JDBC的作用是提供某些約定，驅動程序編程員在構造他們的JDBC URL時應該遵循這些約定。
由於JDBC URL要與各種不同的驅動程序一起使用，因此這些約定應非常靈活。首先，它們應允許不同的驅動程序使用不同的方案來命名資料庫。例如，odbc子協議允許（但並不是要求）URL含有屬性值。
其次，JDBC URL應允許驅動程序編程員將一切所需的信息編入其中。這樣就可以讓要與給定資料庫對話的applet打開資料庫連接，而無須要求用戶去做任何系統管理工作。
最後，JDBC URL應允許某種程度的間接性。也就是說，JDBC URL可指向邏輯主機或資料庫名，而這種邏輯主機或資料庫名將由網路命名系統動態地轉換為實際的名稱。這可以使系統管理員不必將特定主機聲明為JDBC名稱的一部份。網路命名服務（例如DNS、NIS和DCE）有多種，而對於使用哪種命名服務並無限制。
JDBC URL的標准語法如下所示。它由三部分組成，各部分間用冒號分隔：
jdbc：<；協議：子協議：子名稱> JDBC URL的三個部分可分解如下：
⑴jdbc協議：JDBC URL中的協議總是jdbc。
⑵<；子協議>；：驅動程序名或資料庫連接機制（這種機制可由一個或多個驅動程序支持）的名稱。子協議名的典型示例是"odbc"，該名稱是為用於指定ODBC風格的數據資源名稱的URL專門保留的。例如，為了通過JDBC-ODBC橋來訪問某個資料庫，可以用如下所示的URL：jdbc：odbc：book。本例中，子協議為"odbc"，子名稱"book"是本地ODBC數據資源。如果要用網路命名服務（這樣JDBC URL中的資料庫名稱不必是實際名稱），則命名服務可以作為子協議。例如，可用如下所示的URL：jdbc：dcenaming：accounts。本例中，該URL指定了本地DCE命名服務應該將資料庫名稱"accounts"解析為更為具體的可用於連接真實資料庫的名稱。
⑶<；子名稱>；：種標識資料庫的方法。子名稱可以依不同的子協議而變化。它還可以有子名稱的子名稱（含有驅動程序編程員所選的任何內部語法）。使用子名稱的目的是為定位資料庫提供足夠的信息。前例中，因為ODBC將提供其餘部份的信息，因此用"book"就已足夠。然而，位於遠程伺服器上的資料庫需要更多的信息。例如，如果資料庫是通過Internet來訪問的，則在JDBC URL中應將網路地址作為子名稱的一部份包括進去，且必須遵循如下所示的標准URL命名約定：//主機名：埠/子協議。
假設"dbnet"是個用於將某個主機連接到Internet上的協議，則JDBC URL應為：jdbc：dbnet：//wombat：356/fred。
⒋ "odbc"子協議
子協議odbc是一種特殊情況。它是為用於指定ODBC風格的數據資源名稱的URL而保留的，並具有下列特性：允許在子名稱（數據資源名稱）後面指定任意多個屬性值。odbc子協議的完整語法為：
jdbc：odbc：<；數據資源名稱>；【；<；屬性名>=<；屬性值>；】，因此，以下都是合法的jdbc：odbc名稱：
jdbc：odbc：qeor7
jdbc：odbc：wombat
jdbc：odbc：wombat；CacheSize=20；ExtensionCase=LOWER
jdbc：odbc：qeora；UID=kgh；PWD=fooey
⒌ 注??稱以將之用作JDBC URL的子協議名。當DriverManager類將此名稱加到已注冊的驅動程序清單中時，為之保留該名稱的驅動程序應能識別該名稱並與它所標識的資料庫建立連接。例如，odbc是為JDBC-ODBC橋而保留的。假設有個Miracle公司，它可能會將"miracle"注冊為連接到其Miracle DBMS上的JDBC驅動程序的子協議，從而使其他人都無法使用這個名稱。
JavaSoft作為非正式代理負責注冊JDBC子協議名稱。
⒍ 發送SQL語句
連接一旦建立，就可用來向它所涉及的資料庫傳送SQL語句。JDBC對可被發送的SQL語句類型不加任何限制。這就提供了很大的靈活性，即允許使用特定的資料庫語句或甚至於非SQL語句。然而，它要求用戶自己負責確保所涉及的資料庫可以處理所發送的SQL語句，否則將自食其果。例如，如果某個應用程序試圖向不支持儲存程序的DBMS發送儲存程序調用，就會失敗並將拋出異常。JDBC要求驅動程序應至少能提供ANSI SQL-2 Entry Level功能才可算是符合JDBC標准TM的。這意味著用戶至少可信賴這一標准級別的功能。
JDBC提供了三個類，用於向資料庫發送SQL語句。Connection介面中的三個方法可用於創建這些類的實例。下面列出這些類及其創建方法：
⑴Statement：由方法createStatement所創建。Statement對象用於發送簡單的SQL語句。
⑵PreparedStatement：由方法prepareStatement所創建。PreparedStatement對象用於發送帶有一個或多個輸入參數（IN參數）的SQL語句。PreparedStatement擁有一組方法，用於設置IN參數的值。執行語句時，這些IN參數將被送到資料庫中。PreparedStatement的實例擴展了Statement，因此它們都包括了Statement的方法。PreparedStatement對象有可能比Statement對象的效率更高，因為它已被預編譯過並存放在那以供將來使用。
⑶CallableStatement：由方法prepareCall所創建。CallableStatement對象用於執行SQL儲存程序─一組可通過名稱來調用（就象函數的調用那樣）的SQL語句。CallableStatement對象從PreparedStatement中繼承了用於處理IN參數的方法，而且還增加了用於處理OUT參數和INOUT參數的方法。
不過通常來說createStatement方法用於簡單的SQL語句（不帶參數）、prepareStatement方法用於帶一個或多個IN參數的SQL語句或經常被執行的簡單SQL語句，而prepareCall方法用於調用已儲存過程。
⒎ 事務
事務由一個或多個這樣的語句組成：這些語句已被執行、完成並被提交或還原。當調用方法commit或rollback時，當前事務即告就結束，另一個事務隨即開始。預設情況下，新連接將處於自動提交模式。也就是說，當執行完語句後，將自動對那個語句調用commit方法。這種情況下，由於每個語句都是被單獨提交的，因此一個事務只由一個語句組成。如果禁用自動提交模式，事務將要等到commit或rollback方法被顯式調用時才結束，因此它將包括上一次調用commit或rollback方法以來所有執行過的語句。對於第二種情況，事務中的所有語句將作為組來提交或還原。
方法commit使SQL語句對資料庫所做的任何更改成為永久性的，它還將釋放事務持有的全部鎖。而方法rollback將棄去那些更改。有時用戶在另一個更改生效前不想讓此更改生效。這可通過禁用自動提交並將兩個更新組合在一個事務中來達到。如果兩個更新都是成功，則調用commit方法，從而使兩個更新結果成為永久性的；如果其中之一或兩個更新都失敗了，則調用rollback方法，以將值恢復為進行更新之前的值。
大多數JDBC驅動程序都支持事務。事實上，符合JDBC的驅動程序必須支持事務。DatabaseMetaData給出的信息描述DBMS所提供的事務支持水平。
⒏ 事務隔離級別
如果DBMS支持事務處理，它必須有某種途徑來管理兩個事務同時對一個資料庫進行操作時可能發生的沖突。用戶可指定事務隔離級別，以指明DBMS應該花多大精力來解決潛在沖突。例如，當事務更改了某個值而第二個事務卻在該更改被提交或還原前讀取該值時該怎麼辦。
假設第一個事務被還原後，第二個事務所讀取的更改值將是無效的，那麼是否可允許這種沖突？JDBC用戶可用以下代碼來指示DBMS允許在值被提交前讀取該值（"dirty讀取"），其中con是當前連接：
con.setTransactionIsolation（TRANSACTION_READ_UNCOMMITTED）；
事務隔離級別越高，為避免沖突所花的精力也就越多。Connection介面定義了五級，其中最低級別指定了根本就不支持事務，而最高級別則指定當事務在對某個資料庫進行操作時，任何其它事務不得對那個事務正在讀取的數據進行任何更改。通常，隔離級別越高，應用程序執行的速度也就越慢（由於用於鎖定的資源耗費增加了，而用戶間的並發操作減少了）。在決定採用什麼隔離級別時，開發人員必須在性能需求和數據一致性需求之間進行權衡。當然，實際所能支持的級別取決於所涉及的DBMS的功能。
當創建Connection對象時，其事務隔離級別取決於驅動程序，但通常是所涉及的資料庫的預設值。用戶可通過調用setIsolationLevel方法來更改事務隔離級別。新的級別將在該連接過程的剩餘時間內生效。要想只改變一個事務的事務隔離級別，必須在該事務開始前進行設置，並在該事務結束後進行復位。我們不提倡在事務的中途對事務隔離級別進行更改，因為這將立即觸發commit方法的調用，使在此之前所作的任何更改變成永久性的。
② 在java中如何獲得SQL語句查詢結果的字元串
首先你要學會jdbc連接資料庫。
其次是sql語句的問題，你要回寫更新語句。
所以你的業務流程是這樣的。從文本框取值到後端，jdbc連接資料庫，sql語句寫入。
③ SQL注入怎麼防範
SQL注入攻擊的危害很大，而且防火牆很難對攻擊行為進行攔截，主要的SQL注入攻擊防範方法，具體有以下幾個方面：
1、分級管理
對用戶進行分級管理，嚴格控制用戶的許可權，對於普通用戶，禁止給予資料庫建立、刪除、修改等相關許可權，只有系統管理員才具有增、刪、改、查的許可權。
2、參數傳值
程序員在書寫SQL語言時，禁止將變數直接寫入到SQL語句，必須通過設置相應的參數來傳遞相關的變數。從而抑制SQL注入。數據輸入不能直接嵌入到查詢語句中。同時要過濾輸入的內容，過濾掉不安全的輸入數據。或者採用參數傳值的方式傳遞輸入變數，這樣可以最大程度防範SQL注入攻擊。
3、基礎過濾與二次過濾
SQL注入攻擊前，入侵者通過修改參數提交and等特殊字元，判斷是否存在漏洞，然後通過select、update等各種字元編寫SQL注入語句。因此防範SQL注入要對用戶輸入進行檢查，確保數據輸入的安全性，在具體檢查輸入或提交的變數時，對於單引號、雙引號、冒號等字元進行轉換或者過濾，從而有效防止SQL注入。
當然危險字元有很多，在獲取用戶輸入提交參數時，首先要進行基礎過濾，然後根據程序的功能及用戶輸入的可能性進行二次過濾，以確保系統的安全性。
4、使用安全參數
SQL資料庫為了有效抑制SQL注入攻擊的影響。在進行SQLServer資料庫設計時設置了專門的SQL安全參數。在程序編寫時應盡量使用安全參數來杜絕注入式攻擊，從而確保系統的安全性。
5、漏洞掃描
為了更有效地防範SQL注入攻擊，作為系統管理除了設置有效的防範措施，更應該及時發現系統存在SQL攻擊安全漏洞。系統管理員可以采購一些SQL漏洞掃描工具，通過專業的掃描工具，可以及時的掃描到系統存在的相應漏洞。
6、多層驗證
現在的網站系統功能越來越龐大復雜。為確保系統的安全，訪問者的數據輸入必須經過嚴格的驗證才能進入系統，驗證沒通過的輸入直接被拒絕訪問資料庫，並且向上層系統發出錯誤提示信息。同時在客戶端訪問程序中驗證訪問者的相關輸入信息，從而更有效的防止簡單的SQL注入。但是如果多層驗證中的下層如果驗證數據通過，那麼繞過客戶端的攻擊者就能夠隨意訪問系統。因此在進行多層驗證時，要每個層次相互配合，只有在客戶端和系統端都進行有效的驗證防護，才能更好地防範SQL注入攻擊。
7、資料庫信息加密
傳統的加解密方法大致分為三種：對稱加密、非對稱加密、不可逆加密。