PreparedStatement

1、为什么使用PreparedStatement而不使用Statement？

（1）使用Statement需要拼写SQL语句

（2）使用Statement可以发生SQL注入

SQL注入：SQL注入是利用某些系统没有对用户输入的数据进行充分的检查，而在用户输入数据中注入非法的SQL语句段或命令，从而利用系统的SQL引擎完成恶意行为的做法。

String username = "a' OR PASSWORD = ";
String password = " OR '1'='1";

String sql = "SELECT * FROM users WHERE username = '" + username
+ "' AND " + "password = '" + password + "'";

2、PreparedStatement是什么？

（1）是Statement的子接口

（2）是预编译对象，可以传入带占位符的SQL语句，并且提供了补充占位符变量的方法，从而能最大可能提高性能。

3、如何使用PreparedStatement？

（1）创建PreparedStatement：

String sql = "insert into 表名 values(?,?,?...)";

PreparedStatement ps = conn.preparedStatement(sql);

（2）调用PreparedStatement的setXxx(int index,Object val)设置占位符的值，index的值从1开始。

preparedStatement.setString(1,”值“);

（3）执行SQL语句：executeQuery()或executeUpdate()，注意：执行时不再需要传入SQL语句。

preparedStatement.executeUpdate();