怎么理解：ResultSet rs=statement.executeQuery(String sql)?

qinliu0425 2004-05-07 05:27:45

ResultSet 是一个接口，为什么却可以通过statement的方法返回一个实例？executeQuery是怎么生成ResultSet 实例的？

...全文

1188 6 打赏收藏转发到动态举报

写回复

用AI写文章

6 条回复

切换为时间正序

请发表友善的回复…

发表回复

wuyaxlz 2004-05-07

打赏
举报

做程序要不求甚解！什么都问为什么你没法做好程序的。我老师教的

moke33 2004-05-07

打赏
举报

注意，返回的只是实例的引用，它们实现了ResultSet接口，当然可以指向它们了

cxz7531 2004-05-07

打赏
举报

你可以把mysql的jdbc驱动包mm.mysql-2.0.4-bin.jar 解开，就可以看到Connection,statement,ResultSet这几个接口的实现类

Arias 2004-05-07

打赏
举报

就是！本身驱动就有他们的实现方法！

dragon525 2004-05-07

打赏
举报

Connection,statement,ResultSet这些都是接口！

真正的实现得有jdbc的驱动来实现！

pleonheart 2004-05-07

打赏
举报

sun的JDBC只是规范了JDBC需要实现的方法，既是接口
所有的实现都是由数据库厂商完成，比如oracle的jar，db2的jar

ResultSet并非内存中的结果集合，而是JDBC定义的数据库游标抽象，代表客户端对服务端数据流的访问句柄。其行为受fetchSize、type、concurrency和holdability四大维度控制，实际表现高度依赖驱动与数据库版本。关键陷阱包括字段索引漂移、时间类型解析混乱、BLOB/CLOB内存溢出，以及关闭顺序错误导致的连接泄露。正确理解其游标本质，是实现高效、安全数据库交互的基础。

本文深入剖析SQL注入攻击原理，重点揭示'WHERE 1=1'字符串拼接导致的逻辑篡改风险；系统阐述参数化查询（预编译语句）作为首选防御手段的核心机制与多语言实现；补充存储过程、输入验证、最小权限、WAF及安全审计等纵深防御策略；并辨析ORDER BY动态列名、二次注入等高级风险及ORM使用误区。

JDBC不是简单的数据库连接工具，而是Java与数据库之间的分层契约体系，涵盖规范层接口定义、驱动层厂商实现和应用层连接池增强。其核心机制如Connection获取链路劫持、PreparedStatement预编译实际发生位置（客户端/服务端）、ResultSet游标背后的流式网络IO模型，直接决定SQL执行效率、安全边界与资源泄漏风险。理解这些原理，才能真正应对中高级Java岗位中关于连接池泄漏、SQL注入防护失效、批量操作性能瓶颈等高频工程问题。本文基于JDK 17、MySQL 8.0.33与Hikar

本文深入剖析SQL注入攻击原理，包括联合查询、布尔/时间盲注、报错注入、堆叠查询及宽字节注入等手法，并系统阐述以参数化查询（预编译语句）为第一道防线的多层次防御体系。强调白名单输入验证、最小权限数据库配置、WAF与安全左移实践，指出ORM框架非绝对安全、黑名单过滤无效等常见误区，明确参数化查询是唯一根本性防御手段。

本文详细复现锐捷校园网自助服务系统中一个典型的字符型SQL注入漏洞，涵盖漏洞原理、模拟靶场搭建、手工探测（报错注入与UNION查询）、SQLMap自动化利用（数据库枚举与敏感数据拖取），以及基于参数化查询、输入验证、最小权限等原则的修复方案。内容聚焦于教育行业Web应用安全，强调合法授权测试与防御实践。

Java SE

62,622

社区成员

307,257

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章