Statement stmt = con.createStatement(ResultSet.TYPE_SCROLL_INSENSITIVE, CONCUR_READ_ONLY);
String sql = …//查询语句
ResultSet rs = stmt.executeQuery(sql);//这个结果集是可滚动的
6 ResultSet之获取列数据可以通过next()方法使ResultSet的游标向下移动，当游标移动到你需要的行时，就需要来获取该行的数据了，ResultSet提供了一系列的获取列数据的方法：
l String getString(int columnIndex)：获取指定列的String类型数据；
l int getInt(int columnIndex)：获取指定列的int类型数据；
l double getDouble(int columnIndex)：获取指定列的double类型数据；
l boolean getBoolean(int columnIndex)：获取指定列的boolean类型数据；
l Object getObject(int columnIndex)：获取指定列的Object类型的数据。
上面方法中，参数columnIndex表示列的索引，列索引从1开始，而不是0，这第一点与数组不同。如果你清楚当前列的数据类型，那么可以使用getInt()之类的方法来获取，如果你不清楚列的类型，那么你应该使用getObject()方法来获取。
ResultSet还提供了一套通过列名称来获取列数据的方法：
l String getString(String columnName)：获取名称为columnName的列的String数据；
l int getInt(String columnName)：获取名称为columnName的列的int数据；
l double getDouble(String columnName)：获取名称为columnName的列的double数据；
l boolean getBoolean(String columnName)：获取名称为columnName的列的boolean数据；
l Object getObject(String columnName)：获取名称为columnName的列的Object数据；
PreparedStatement 1 什么是SQL攻击在需要用户输入的地方，用户输入的是SQL语句的片段，最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句！例如用户在登录时输入的用户名和密码都是为SQL语句的片段！
2 演示SQL攻击首先我们需要创建一张用户表，用来存储用户的信息。
CREATE TABLE user(
uidCHAR(32) PRIMARY KEY,
usernameVARCHAR(30) UNIQUE KEY NOT NULL,
PASSWORD VARCHAR(30)
);
INSERT INTO user VALUES(\'U_1001\', \'zs\', \'zs\');
SELECT * FROM user;
现在用户表中只有一行记录，就是zs。
下面我们写一个login()方法！
public void login(String username, String password) {
Connection con = null;
Statement stmt = null;
ResultSet rs = null;
try {
con = JdbcUtils.getConnection();
stmt = con.createStatement();
String sql = "SELECT * FROM user WHERE " +
"username=\'" + username +
"\' and password=\'" + password + "\'";
rs = stmt.executeQuery(sql);
if(rs.next()) {
System.out.println("欢迎" + rs.getString("username"));
} else {
System.out.println("用户名或密码错误！");
}
} catch (Exception e) {
throw new RuntimeException(e);
} finally {
JdbcUtils.close(con, stmt, rs);
}
}
下面是调用这个方法的代码：
login("a\' or \'a\'=\'a", "a\' or \'a\'=\'a");
这行当前会使我们登录成功！因为是输入的用户名和密码是SQL语句片段，最终与我们的login()方法中的SQL语句组合在一起！我们来看看组合在一起的SQL语句：
SELECT * FROM tab_user WHERE username=\'a\' or \'a\'=\'a\' and password=\'a\' or \'a\'=\'a\'
3 防止SQL攻击
l 过滤用户输入的数据中是否包含非法字符；
l 分步交验！先使用用户名来查询用户，如果查找到了，再比较密码；
l 使用PreparedStatement。
4 PreparedStatement是什么？PreparedStatement叫预编译声明！
PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。
PreparedStatement的好处：
l 防止SQL攻击；
l 提高代码的可读性，以可维护性；
l 提高效率。
5 PreparedStatement的使用String sql = “select * from tab_student where s_number=?”;
PreparedStatement pstmt = con.prepareStatement(sql);
pstmt.setString(1, “S_1001”);
ResultSet rs = pstmt.executeQuery();
rs.close();
pstmt.clearParameters();
pstmt.setString(1, “S_1002”);
rs = pstmt.executeQuery();
在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。