代码中的感悟

admin

废话少说先上代码：
, C( ~/ U1 k; w. j" N复制内容到剪贴板
代码:
' l$ \% X, ?' h5 s' l+ L; ?( cint iPage = 0;
$ q$ ]9 q- {: x+ `        int iPerPage = 20;
, O9 C2 D$ q: T+ K6 ^        String sName = "admin";
* b8 x' S! p: T' h7 F& e9 }6 ^        String sSql = "select user.c_name name, (select dept.c_name from db_aty_t_aty_dept dept where dept.c_id=user.c_dept) dept, user.c_gzdh gzdh from dt_aty.t_aty_user user where user.c_dept like "
                + sName + " and n_valid = 1 and user.c_dept != -1 limit " + iPage + "," + iPerPage;
2 J- K' R( E5 s- K大家写的代码是不是这个样子的呢？
; h5 @0 I/ @7 c9 n我相信很多人会说，我的代码比这个写的好多了。
6 Z, N8 [; z# d* ?好的看下面的代码：
3 @- [, T' |7 f8 u9 G复制内容到剪贴板
! c8 G$ K& q: c% e9 k: r代码:
int iPage = 0;
        int iPerPage = 20;
" ~2 g5 B' d1 J' C        String sName = "admin";
( l, s; }! [* q2 v! R2 c+ e        String sSql =  "select "
                    + "     user.c_name name, "
% K" C" S$ b+ R: ^$ R  k0 l                    + "     (select dept.c_name "
3 q: c2 q: [$ s* G5 D* r                    + "          from db_aty_t_aty_dept dept "
2 L, i* `) k4 L$ P, X5 n1 V8 K                    + "     where "
                    + "         dept.c_id=user.c_dept) dept,"
                    + "     user.c_gzdh gzdh "
* i1 `* K+ u+ e$ p                    + "from "
7 u0 ~2 n" q) E/ S/ U( ~: P8 X                    + "     dt_aty.t_aty_user user "
                    + "where "
5 j' m- ~2 O1 ]  W                    + "     user.c_dept like " + sName
- Z' F7 M% R5 E( `  a' s2 S$ S0 J$ e! R                    + "     and "
                    + "     n_valid = 1 "
                    + "     and "
                    + "     user.c_dept != -1 "
; A4 [; b6 ]" w  q                    + "limit " + iPage + "," + iPerPage;
那么这个代码大家满意么？
还是有人会说，还可以改进，那么好的。
# V( ]2 A" a) k) h+ s继续看代码：
7 P, e! z7 O3 ^2 |! N+ W复制内容到剪贴板
代码:
5 Z  O8 b: D7 ?$ @) Uint iPage = 0;
        int iPerPage = 20;
& L& I$ x8 _6 t, l3 J6 R        String sName = "admin";
        String sSql =  "select "
7 E0 q4 y. w& N  D2 E                    + "     user.c_name name, "
/ k* j+ t8 ]# A                    + "     (select dept.c_name "
                    + "          from db_aty_t_aty_dept dept "
                    + "     where "
( s( v( Z# K9 f* A# t                    + "         dept.c_id=user.c_dept) dept,"
- r( o9 G. D% [% T9 ?; f" W  Q- j                    + "     user.c_gzdh gzdh "
                    + "from "
                    + "     dt_aty.t_aty_user user "
                    + "where "
9 B% r2 \3 ~, g7 m                    + "     user.c_dept like ?"
                    + "     and "
                    + "     n_valid = 1 "
                    + "     and "
                    + "     user.c_dept != -1 "
                    + "limit ?,?";
这个可以了吧！还是有人会说，我还可以改进，那么恭喜你。
. R# K% ~" P% b+ q' J看最后一段代码：
* [3 Z7 n. G, u复制内容到剪贴板
- {% L( `4 _: N2 b% S1 x代码:
int iPage = 0;
& |. L8 t  y- E/ s: h2 i& }% T. ~        int iPerPage = 20;
. W- J$ Y" L& s        String sName = "admin";
2 T& Q4 `2 Q+ t* P( A9 l, t# \) s        StringBuilder sbSql = new StringBuilder();
        sbSql.append("select ");
% Y9 ]4 p4 l. j& L" V! I        sbSql.append("  user.C_name name, ");
        sbSql.append("  (select ");
0 l5 F7 o9 ~* z! W6 |# H        sbSql.append("      dept.c_name ");
        sbSql.append("   from ");
) D1 E% x1 P! M( M+ \        sbSql.append("      db_aty.t_aty_dept dept ");
        sbSql.append("   where ");
/ A) H# |2 z' B+ v1 ]        sbSql.append("      dept.c_id=user.c_dept) dept, ");
        sbSql.append("  user.c_gzdh gzdh ");
        sbSql.append("from ");
        sbSql.append("  db_aty.t_aty_user user ");
* Z3 M  S, ^) K% T: E$ O        sbSql.append("where ");
        sbSql.append("  user.c_dept like ? ");
/ P3 I! H/ j9 F* M, }        sbSql.append("  and ");
9 J) Q/ m* V+ I, o) Q- [        sbSql.append("  n_valid = 1 ");
( p$ F8 Z) y1 c  X. X3 T        sbSql.append("  and ");
        sbSql.append("  user.c_dept != -1 ");
        sbSql.append("limit ?,?");
看过这四段代码大家，可能会有疑问，这是为什么呢？
我总结了几点：
2 A, l& i& V+ R0 T9 U2 Q! d1、大家可能注意到了变量的命名方式，可能大家平时写代码的时候注意不到这个，不过这也是个人的习惯问题的。其实按照自己的命名规则来写没有问题，问题在于我们在工作中写的代码不会只有自己看的。后期维护的人员也会看的，这样可以让维护人员直观的了解变量的数据类型。
! z# L4 n# b9 N" {0 r$ c4 `1 e
5 H' P6 q, J0 X/ s9 h2 S; ?! f( E2、为什么不用字符拼接而是用通配符？很多的答案我相信都是一致的，没错就是防注入。但是可能很多意识不到还有一个问题就是数据库解析。数据库接受到程序传入的SQL语句的时候，如果是拼接的字符串数据库会自动进行解析工作，那么大量SQL涌入的时候，效率就可想而知了。
6 V9 P1 s, s$ _2 m, n) u7 S1 }5 i
  Q/ A, F, |+ R! R3、为什么摒弃了最熟悉的String类型而是用StringBuilder类型。我们首先来看String类型定义的特殊性，如果用new的方式我就不用说了，大家用new的方式定义String类型的时候比较少，即使是那么定义了。大家一定会知道只要是new就一定会创建一个字符串。
. U4 }* E( Y( k
字符串拼接的过程，先搜索字符串池中字符串对象。如果存在就会把该字符串地址赋值给定义的字符串变量。如果不存在就会重新创建对象。在这种拼接的过程中创建很多对象，那么对性能要求比较高，而且效率很低下。
! D7 S. Y0 V0 W+ q4 _( w还有人可能问了，为什么不是StringBuffer，因为这里不需要线程安全，只要效率。所以选择StringBuilder就可以了。

. y- _2 ~* R# F4、最后一个可能是大家不太注意的问题就是，SQL的格式。一段良好的代码它的可读性是最珍贵的。说一个人有多牛，不是说这个人可以写出别人看不懂的代码，而是看有多少人可以读懂他的代码。所以SQL的格式也非常重要。

* x$ X& ^& x7 C7 u
看沙发吧！我不知道我写帖子里面带有什么词语了，就是不能通过。

这次就说这么多，我希望大家多多参与进来，不过看昨天大家回复的帖子。很多人愿意被动的接受知识，而不愿意去主动探索去寻找知识。这样的态度是不对的，希望这个帖子可以让更多参与进来，不是我一个人写，而是所有人写。写出自己对编程的思考，自己的想法，自己的技巧。
, ~! v" p" T8 Y' U9 x
% Y; |# m. H: D  ^6 x$ [) g4 M
0 y* `) n" }9 H7 q7 W! Y

blue的神秘世界

这样写的话  会不会有SQL注入呢

admin

blue的神秘世界 发表于 2014-11-21 03:15
* C* n2 W7 E2 ?" L, ^这样写的话  会不会有SQL注入呢

最后的代码 使用 ？号  不会出现 sql注入问题

YES——先锋

经典 超好   就是这个样的

陆文龙

其实每个人，都有每个人的写法