Java 使用JDBC作为基本登录系统

我正在尝试用java创建一个注册用户并“登录”用户的项目，但是我已经让注册部分正常工作了，我不知道如何返回正确/错误。我有需要使用的查询

public String login(String username, String password) {
    return "SELECT * WHERE Username=\""+username+"\" and Password=\""+password+"\";";
}

虽然，我只是不确定我到底在做什么。有什么帮助吗

---

我知道如何写入数据库，但不知道如何从中读取。

我不太清楚你在问什么，但你可以这样尝试：-

  sql = "SELECT * from mytable WHERE username='" + username + "' and password='"password"'";                                  
   rs = stmt.executeQuery(sql);
   if( rs.next()){
        return true;
   } else {
       return false;
   }

您的

select

语句中也缺少

from

子句

注意：-

---

上述解决方案非常容易进行SQL注入。相反，尝试使用Prepared语句来避免SQL注入。

不太确定您要问什么，但您可以这样尝试：-

  sql = "SELECT * from mytable WHERE username='" + username + "' and password='"password"'";                                  
   rs = stmt.executeQuery(sql);
   if( rs.next()){
        return true;
   } else {
       return false;
   }

您的

select

语句中也缺少

from

子句

注意：-

---

上述解决方案非常容易进行SQL注入。相反，试着使用Prepared语句来避免SQL注入。

尽管Rahul Tripathi的答案是可行的，但它会使您的应用程序受到SQL注入攻击，这意味着我可能会通过输入以下内容来损坏您的应用程序

'; drop table mytable;

在用户名字段中。由于用户名与SQL的其余部分连接在一起，因此将执行以下操作：

SELECT * from mytable WHERE username=''; drop table mytable;

这显然不是你想要的

相反，请使用参数和准备好的语句：

String username = //get entered username from somewhere
String password = //get entered password from somewhere
Connection connection = //get database connection

String sqlString = "SELECT * from mytable WHERE username=? and password=?";

PreparedStatement login = connection.prepareStatement(sqlString);
login.setString(1, username);
login.setString(2, password);
ResultSet rs = login.executeQuery();

---

这不是一个完整的解决方案，您需要处理异常并处理结果集…

尽管Rahul Tripathi的答案可行，但它会使您的应用程序受到SQL注入攻击，这意味着我可能会通过输入以下内容来损坏您的应用程序

'; drop table mytable;

在用户名字段中。由于用户名与SQL的其余部分连接在一起，因此将执行以下操作：

SELECT * from mytable WHERE username=''; drop table mytable;

这显然不是你想要的

相反，请使用参数和准备好的语句：

String username = //get entered username from somewhere
String password = //get entered password from somewhere
Connection connection = //get database connection

String sqlString = "SELECT * from mytable WHERE username=? and password=?";

PreparedStatement login = connection.prepareStatement(sqlString);
login.setString(1, username);
login.setString(2, password);
ResultSet rs = login.executeQuery();

---

这不是一个完整的解决方案，您需要处理异常并处理结果集…

在您的方法中，您需要实际运行SQL以获得结果。此外：在SQL中，字符串文本需要用单引号括起来，而不是双引号。更重要的是：如果您这样构建查询，您的代码对SQL注入非常开放。我建议您使用Spring Framework的JDBCTemplate:Spring的JDBC模板很好，但我认为首先学习JDBC很重要，在使用基于SQL的框架之前，您需要实际运行SQL以获得结果。此外：在SQL中，字符串文本需要用单引号括起来，而不是双引号。更重要的是：如果您这样构建查询，您的代码对SQL注入非常开放。我建议您使用Spring Framework的JDBCTemplate:Spring的JDBC模板很好，但我认为首先学习JDBC很重要，在使用基于它的框架之前。或者删除

if-else

，只需：

返回rs.next（）

@NickJ:-是的，这是正确的。我不清楚OP的问题。无论如何，我更新了我的答案@Rahul Tripathi当我只需要使用密码登录或删除

if else

而只需：

返回rs.next（）

@NickJ:-是的，这是正确的。我不清楚OP的问题。无论如何，我更新了我的答案@Rahul Tripathi当我只需要使用密码登录时，SQL语法是什么