JDBCの概要とアーキテクチャ
データの永続化（Persistence）とは、メモリ上の揮発性データを電源を切っても保持可能な記憶装置（ハードディスクなど）に保存するプロセスを指します。Javaエンタープライズアプリケーションにおいて、これは主にリレーショナルデータベース（RDB）へのデータ保存を意味します。
Javaにおけるデータアクセス技術には、JDBCの他にJDO（Java Data Objects）や、Hibernate、MyBatisといったO/Rマッピングツールがあります。しかし、これらのフレームワークも内部的にはJDBC（Java Database Connectivity）を使用しています。JDBCは、データベース管理システムに依存しない共通のAPI（java.sql, javax.sqlパッケージ）を定義しており、開発者は統一された手法でデータベースリソースにアクセスできます。
JDBCのアーキテクチャは大きく2つのレイヤーに分かれています。
- Java API（アプリケーション向け）: 開発者が使用する抽象インターフェース。接続の確立、SQL文の実行、結果の取得を行います。
- Java Driver API（ベンダー向け）: データベースベンダーがドライバを実装するためのインターフェース。
プログラマはJava APIに対してのみコーディングを行い、各データベースベンダーが提供するドライバ（実装クラス）が詳細を処理します。
データベース接続の確立と実装パターン
データベースへの接続を確立するためには、主に以下の4つの要素が必要です。
- Driverインターフェースの実装クラス:
java.sql.Driverを実装したクラス（例: MySQLのcom.mysql.cj.jdbc.Driver）。 - URL: 接続先のデータベースを特定するためのアドレス。形式は
jdbc:サブプロトコル:サブネームです。- MySQL例:
jdbc:mysql://localhost:3306/mydb?useSSL=false&serverTimezone=UTC - Oracle例:
jdbc:oracle:thin:@localhost:1521:orcl
- MySQL例:
- ユーザー名: データベースの認証ユーザー。
- パスワード: 認証パスワード。
推奨される接続実装（プロパティファイル利用）
最も保守性の高い実装方法は、接続情報をプロパティファイルとして外部化し、実行時に読み込む方式です。これにより、コードの修正なしに設定を変更できます。
以下に、設定ファイルを読み込み、DriverManagerを用いて接続を取得するユーティリティクラスの例を示します。コード構成や変数名を変更し、可読性を向上させています。
import java.io.IOException;
import java.io.InputStream;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;
import java.util.Properties;
public class DbConnectorUtil {
public static Connection establishConnection() throws IOException, ClassNotFoundException, SQLException {
// 1. 設定ファイルの読み込み
Properties configProps = new Properties();
try (InputStream inputstream = DbConnectorUtil.class.getClassLoader()
.getResourceAsStream("database.properties")) {
if (inputstream == null) {
throw new IOException("設定ファイルが見つかりません: database.properties");
}
configProps.load(inputstream);
}
// 2. 接続パラメータの取得
String driverClassName = configProps.getProperty("db.driver");
String connectionUrl = configProps.getProperty("db.url");
String dbUser = configProps.getProperty("db.user");
String dbPassword = configProps.getProperty("db.password");
// 3. ドライバクラスのロード
// 現在のJDBCドライバでは、クラスパスに含まれていれば自動ロードされることが多いですが、
// 明示的にロードすることで互換性を保証します。
Class.forName(driverClassName);
// 4. コネクションの取得
return DriverManager.getConnection(connectionUrl, dbUser, dbPassword);
}
}
database.properties の例:
db.driver=com.mysql.cj.jdbc.Driver
db.url=jdbc:mysql://localhost:3306/sample_db
db.user=admin
db.password=secretPassword
PreparedStatementによる安全なCRUD操作
データベース操作（CRUD）を行う際、StatementインターフェースとPreparedStatementインターフェースのどちらを使用するかが重要です。
Statementの問題点とSQLインジェクション
Statementは静的なSQL文をそのまま実行するために使用されます。しかし、以下の理由から推奨されません。
- 文字列結合の煩雑さ: SQL文に変数を埋め込むために手動で文字列結合を行う必要があり、コードが読みにくくなります。
- SQLインジェクションの脆弱性: ユーザー入力をそのままSQLに結合すると、悪意のあるSQLコードを実行されるリスクがあります。
以下に、Statementを使用した危険な認証処理の例を示します。入力値を検証せずに結合しているため、' OR '1'='1 のような入力によって認証を回避される可能性があります。
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.Statement;
import java.util.Scanner;
public class InsecureLoginDemo {
public void performLogin() {
Scanner scanner = new Scanner(System.in);
System.out.print("ユーザーID: ");
String inputId = scanner.nextLine();
System.out.print("パスワード: ");
String inputPass = scanner.nextLine();
// 脆弱性のあるSQL構築（文字列結合）
String sqlQuery = "SELECT user_id FROM auth_users WHERE username = '"
+ inputId + "' AND password = '" + inputPass + "'";
try (Connection conn = DbConnectorUtil.establishConnection();
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery(sqlQuery)) {
if (rs.next()) {
System.out.println("ログイン成功: ユーザーID " + rs.getInt("user_id"));
} else {
System.out.println("ログイン失敗: 認証情報が無効です。");
}
} catch (Exception e) {
e.printStackTrace();
}
}
}
PreparedStatementへの移行
これらの問題を解決するためには、PreparedStatementを使用します。PreparedStatementはプレースホルダー（?）を使用してSQLを事前コンパイルし、入力値をバインドするため、SQLインジェクションを防ぐと同時に、パフォーマンスの向上も期待できます。開発者は常に文字列の結合を行うStatementではなく、PreparedStatementを優先して使用すべきです。