Java中PreparedStatement与Statement的总结

概要：

PreparedStatement 接口继承自 Statement 接口，PreparedStatement 比普通Statement 对象使用起来更加灵活，更有效率。

一、PreparedStatement与Statement相比，具有什么优势？

1、相对比较安全，可以防止sql注入。

2、有预编译功能，相同操作批量数据效率较高。

3、使用PreparedStatement 接口，继承自 Statement接口比Statement对象使用起来更加灵活，更有效率。

二、实例代码

 import java.sql.*;
 import java.util.Scanner;
 import org.apache.log4j.Logger;
 /**
 * 使用 Statement 安全性差，存在 SQL 注入隐患。
 * @author CSEE
 */
 public class Test6 {
 private static Logger logger = Logger.getLogger(Test6.class.getName());
 public static void main(String[] args) {
 Connection conn = null;
 Statement stmt = null;
 ResultSet rs = null;
 //0、根据控制台提示输入用户账号和密码
 Scanner input = new Scanner(System.in);
 System.out.println("\t 宠物主人登录");
 System.out.print("请输入姓名：");
 String name=input.next();
 System.out.print("请输入密码：");
 String password=input.next();
 // 1、加载驱动
 try {
 Class.forName("com.microsoft.sqlserver.jdbc.SQLServerDriver");
 } catch (ClassNotFoundException e) {
 logger.error(e);
 }
 try {
 // 2、建立连接
 conn = DriverManager.getConnection(
 "jdbc:sqlserver://localhost:1433;DatabaseName=epet",
 "jbit", "bdqn");
 // 3 、判断宠物主人登录是否成功
 stmt = conn.createStatement();
 String sql="select * from master where name='"+name+
 "' and password='"+password+"'";
 System.out.println(sql);
 rs = stmt.executeQuery(sql);
 if(rs.next())
 System.out.println(" 登录成功，欢迎您！");
 else
 System.out.println(" 登录失败，请重新输入！");
 } catch (SQLException e) {
 logger.error(e);
 } finally {
 // 4、关闭 Statement 和数据库连接
 try {
 if (null != stmt) {
 stmt.close();
 }
 if (null != conn) {
 conn.close();
 }
 } catch (SQLException e) {
 logger.error(e);
 }
 }
 }
 }

注：这就是网上典型的 SQL 注入攻击，原因就在于使用 Statement 接口方法时要进行 SQL
语 句 的 拼 接 ， 不 仅 拼 接 繁 琐 麻 烦 ， 容 易 出 错 ， 还 存 在 安 全 漏 洞 。 而 使 用
PreparedStatement 接口就不存在这个问题。

三、PreparedStatement 比 Statement 好在哪里？
 提高了代码的可读性和可维护性。
         虽然使用 PreparedStatement 来代替 Statement 会多几行代码，但避免了繁琐
麻烦又容易出错的 SQL 语句拼接，提高了代码的可读性和可维护性。
 提高了 SQL 语句执行的性能。
         创建 Statement 对象时不使用 SQL 语句做参数，不会解析和编译 SQL 语句，每次
调用方法执行 SQL 语句时都要进行 SQL 语句解析和编译操作，即操作相同仅仅是数
据不同。
        创建 PreparedStatement 对象时使用带占位符的 SQL 语句做参数，会解析和编译
该 SQL 语句，在通过 setXxx 方法给占位符赋值后执行 SQL 语句时无需再解析和编
译 SQL 语句，直接执行即可。多次执行相同操作可以大大提高性能。
 提高了安全性。
         PreparedStatement 使用预编译语句，传入的任何数据都不会和已经预编译的 SQL
语句进行拼接，避免了 SQL 注入攻击。