[Java] Dubbi su funzionamento di JDBC

[e-commerce84]

Ciao a tutti,

allora...io ho una semplicissima tabella avente la seguente struttura:

mysql> describe Student;
+-------+-------------+------+-----+---------+----------------+
| Field | Type        | Null | Key | Default | Extra          |
+-------+-------------+------+-----+---------+----------------+
| ID    | int(11)     | NO   | PRI | NULL    | auto_increment |
| NAME  | varchar(20) | NO   |     | NULL    |                |
| AGE   | int(11)     | NO   |     | NULL    |                |
+-------+-------------+------+-----+---------+----------------+

Dubbio sul funzionamento di JDBC
Ciao a tutti,

allora...io ho una semplicissima tabella avente la seguente struttura:

codice:

mysql> describe Student;
+-------+-------------+------+-----+---------+----------------+
| Field | Type | Null | Key | Default | Extra |
+-------+-------------+------+-----+---------+----------------+
| ID | int(11) | NO | PRI | NULL | auto_increment |
| NAME | varchar(20) | NO | | NULL | |
| AGE | int(11) | NO | | NULL | |
+-------+-------------+------+-----+---------+----------------+




Studiando un esempio che fà uso di JDBC per accedere ai dati mi ritrovo ad avere un'interfaccia StudentDAO che rappresenta le operazioni di CRUD che posso fare sulla tabella Student

Poi ho una classe chiamata StudentJDBCTemplate che implementa tale interfaccia andando ad implementare appunto tutti i metodi che eseguono tali operazioni di CRUD

E quì ho qualche dubbio sull'uso di JDBC.

Ad esempio ho il seguente metodo per inserire una nuova riga all'interno della tabella Student

	/* Inserisce un nuovo record, rappresentante uno studente, dentro la tabella
	   @param nome studente
	   @param età studente
	 * @see org.andrea.myexample.myJdbcSpringExample.StudentDAO#create(java.lang.String, java.lang.Integer)
	 */
	public void create(String name, Integer age) {
		String SQL = "insert into Student (name, age) values (?, ?)";

		jdbcTemplateObject.update(SQL, name, age);
		System.out.println("Created Record Name = " + name + " Age = " + age);
		return;
	}

Da quello che capisco tale metodo riceve come parametri di input una stringa name e un Integer age che rappresentano rispettivamente il nome e l'età dello studente da inserire come riga nella tabella Student (il valore del campo ID non mi serve visto che è settato sul DB come autoincrement)

Ora ho la stringa SQL che credo rappresenti la mia query di inserimento.

Per eseguire tale query uso il metodo update su di un oggetto avente tipo JdbcTemplate (l'oggetto jdbcTemplateObject) passandogli appunto la query SQL, il valore del nome ed il valore dell'età

Così: jdbcTemplateObject.update(SQL, name, age);

La cosa che però non riesco a capire bene è il significato della stringa SQL, io la definisco così:

String SQL = "insert into Student (name, age) values (?, ?)";

Quindi la stringa contiene il valore: "insert into Student (name, age) values (?, ?)"

quì ho vari dubbi:

1) cosa significano esattamente quel values(?,?) leggendo online ho letto che si riferisce al fatto per evitare di fare manualmente l'escaping dei miei valori name ed age...ma che significa esattamente ?!?! Non è che mi potete fare un esempio pratico?

2) Per eseguire tale query uso il metodo update sull'oggetto avente tipo JdbcTempate, così: jdbcTemplateObject.update(SQL, name, age);

ma in pratica è tale metodo ad eseguire la sostituzione del valore contenuto nel parametro di input name nel frammento di stringa "name" ed il valore contenuto nel parametro di input age nel pezzo di stringa "age" della query SQL?

Grazie mille
Andrea

[The_ouroboros]

values(?,?) ti evita l' SQL injection che è un attacco effetuabile per ottenere illegittimamente informazioni.
Tu crei una template di insert che poi JDBC ti "compilerà".