zoukankan      html  css  js  c++  java
  • PreparedStatement和Statement

    关于PreparedStatement和Statement~




    Statement:Statement 是 Java 执行数据库操作的一个重要接口,用于在已经建立数据库连接的基础上,向数据库发送要执行的SQL语句。Statement对象,用于执行不带参数的简单SQL语句。


    PreparedStatement:PreparedStatementStatement接口的子接口,那么,相较于Statement,它有哪些优势呢?

    (1)防SQL攻击;

    (2)提高代码的可读性,可维护性;

    (3)可以提高效率;


    防SQL攻击

    一个登录事件;

    如果用Statement来实现,sql语句为:

    String sql = "SELECT * FROM user WHERE " + "username='" + username + "' and password='" + password + "'";

    那么当执行executeQuery(sql)时,如果用户传入的username ,password 是"a' or 'a'='a"和"a' or 'a'='a",这时会通过的,那么就被攻击了,怎么解决呢?用PreparedStatement!

    如果用PreparedStatement来实现,sql语句为:

    String sql = "SELECT * FROM user WHERE username=?and password=?" ;

    执行prepareStatement(sql);然后再设置参数,setString(1, “name”);setString(1, “word”);这样,就不会产生Statement的错误了。


    效率的提高

    在使用Connection创建PreparedStatement对象时需要给出一个SQL模板,所谓SQL模板就是有“”的SQL语句,其中“”就是参数。在得到PreparedStatement对象后,调用它的setXXX()方法为“”赋值,这样就可以得到把模板变成一条完整的SQL语句,然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。注意PreparedStatement对象独有的executeQuery()方法是没有参数的,而Statement的executeQuery()是需要参数(SQL语句)的。因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了,所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。PreparedStatement最大的好处就是在于重复使用同一模板,给予其不同的参数来重复的使用它。这才是真正提高效率的原因。


    可能一开始接触的是Statement,但是越用你就会觉得PreparedStatement要好,所以建议大家还是用PreparedStatement。

  • 相关阅读:
    Classloader中loadClass()方法和Class.forName()区别
    java.lang.Class解析
    JDK_Proxy_InvocationHandler_动态代理
    spring之Annotation
    annotation之@Autowired、@Inject、@Resource三者区别
    spring之生命周期
    spring之lazy-init
    我是如何在SQLServer中处理每天四亿三千万记录的
    (转)SQL一次性插入大量数据
    SQL SERVER连接池
  • 原文地址:https://www.cnblogs.com/Arry10/p/7731793.html
Copyright © 2011-2022 走看看