问题描述
嗨,我想知道是否可以使用JDBC执行这样的事情,因为它目前提供了异常,即使是可能在MySQL查询浏览器中。
"SELECT FROM * TABLE;INSERT INTO TABLE;"
虽然我意识到可能会使SQL查询字符串被拆分,语句执行两次,但我想知道是否有一个时间的方法为此。
String url = "jdbc:mysql://localhost:3306/";
String dbName = "databaseinjection";
String driver = "com.mysql.jdbc.Driver";
String sqlUsername = "root";
String sqlPassword = "abc";
Class.forName(driver).newInstance();
connection = DriverManager.getConnection(url+dbName, sqlUsername, sqlPassword);
最佳解决方案
我想知道是否可以使用JDBC执行类似的操作。
"SELECT FROM * TABLE;INSERT INTO TABLE;"
是的,这是可能的。据我所知,有两种方法。他们是
-
通过设置数据库连接属性来允许多个查询,默认情况下由semi-colon分隔。
-
通过调用隐藏返回游标的存储过程。
以下示例说明了上述两种可能性。
示例1 :(允许多个查询):
在发送连接请求时,您需要将连接属性allowMultiQueries=true
附加到数据库url。这是与autoReConnect=true
等存在的附加连接属性。allowMultiQueries
属性的可接受值为true
,false
,yes
和no
。任何其他值在运行时被SQLException
拒绝。
String dbUrl = "jdbc:mysql:///test?allowMultiQueries=true";
除非通过这样的指令,否则抛出SQLException
。
您必须使用execute( String sql )
或其他变体来获取查询执行的结果。
boolean hasMoreResultSets = stmt.execute( multiQuerySqlString );
要迭代和处理结果,您需要以下步骤:
READING_QUERY_RESULTS: // label
while ( hasMoreResultSets || stmt.getUpdateCount() != -1 ) {
if ( hasMoreResultSets ) {
Resultset rs = stmt.getResultSet();
// handle your rs here
} // if has rs
else { // if ddl/dml/...
int queryResult = stmt.getUpdateCount();
if ( queryResult == -1 ) { // no more queries processed
break READING_QUERY_RESULTS;
} // no more queries processed
// handle success, failure, generated keys, etc here
} // if ddl/dml/...
// check to continue in the loop
hasMoreResultSets = stmt.getMoreResults();
} // while results
示例2:步骤:
-
使用一个或多个
select
和DML
查询创建一个过程。 -
使用
CallableStatement
从java调用它。 -
您可以捕获在过程中执行的多个
ResultSet
。 DML结果无法被捕获,但是可以发出另一个select
来查找表中行如何受到影响。
样品表和程序:
mysql> create table tbl_mq( i int not null auto_increment, name varchar(10), primary key (i) );
Query OK, 0 rows affected (0.16 sec)
mysql> delimiter //
mysql> create procedure multi_query()
-> begin
-> select count(*) as name_count from tbl_mq;
-> insert into tbl_mq( names ) values ( 'ravi' );
-> select last_insert_id();
-> select * from tbl_mq;
-> end;
-> //
Query OK, 0 rows affected (0.02 sec)
mysql> delimiter ;
mysql> call multi_query();
+------------+
| name_count |
+------------+
| 0 |
+------------+
1 row in set (0.00 sec)
+------------------+
| last_insert_id() |
+------------------+
| 3 |
+------------------+
1 row in set (0.00 sec)
+---+------+
| i | name |
+---+------+
| 1 | ravi |
+---+------+
1 row in set (0.00 sec)
Query OK, 0 rows affected (0.00 sec)
Java调用过程:
CallableStatement cstmt = con.prepareCall( "call multi_query()" );
boolean hasMoreResultSets = cstmt.execute();
READING_QUERY_RESULTS:
while ( hasMoreResultSets ) {
Resultset rs = stmt.getResultSet();
// handle your rs here
} // while has more rs
次佳解决方案
您可以使用批量更新,但查询必须是操作(即插入,更新和删除)查询
Statement s = c.createStatement();
String s1 = "update emp set name='abc' where salary=984";
String s2 = "insert into emp values ('Osama',1420)";
s.addBatch(s1);
s.addBatch(s2);
s.executeBatch();
第三种解决方案
提示:如果您有多个连接属性,请将它们分隔开:
&
给你一些像:
url="jdbc:mysql://localhost/glyndwr?autoReconnect=true&allowMultiQueries=true"
我希望这有助于一个人。
问候,
格林
第四种方案
根据我的测试,正确的标志是”allowMultiQueries=true”
参考文献
注:本文内容整合自google/baidu/bing辅助翻译的英文资料结果。如果您对结果不满意,可以加入我们改善翻译效果:gxnotes#qq.com(#替换为@)。