Preparedstatement和statement的区别使用方式详细解释

Preparedstatement和statement的区别

理论讲解：

用Prepared statement进行开发。

Prepared statement是预编译的，而statement不是，在每次执行sql语句的增删改时，如果是一条数据两者没差距，但如果数据量大于1，那么每次执行sql语句statement都要重新编译一次，

而Prepared statement不用，Prepared statement的运行效率大于statement；

从代码的可维护性和可读性来说，虽然用Prepared statement来代替statement会使代码多出几行，但这样的代码无论从可读性还是可维护性来说，都比直接使用statement的代码高很多档次；

最重要的一点，从安全角度来说，使用Prepared statement可以大大提高程序的安全性，因为Prepared statement是用‘？’传参,可以防止sql注入，具有安全性，而statement用的是‘+’字符串拼接，安全性较低。

 

代码区别：

PreparedStatement使用 “？” 代替参数成为占位符（通俗得讲）

 举例说明：

jdbc连接数据库：插入数据（首先我自己提取的一个工具类 JdbcUtils 简化SQL，减少连接次数）上代码

Statement：

package jdbc.TestDemo;

import jdbc.utils.JdbcUtils;

import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

public class TestInsert {
    public static void main(String[] args) {
        Connection connection = null;
        Statement statement = null;
        ResultSet resultSet = null;
        try {
            connection = JdbcUtils.getConnection();  //获取数据库连接
            statement = connection.createStatement();
            String sql = "insert into user (`id`,`username`,`password`) values ('3','王青','123456')";
            int i = statement.executeUpdate(sql);
            if(i>0){
                System.out.println("插入数据成功");
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }finally {
             JdbcUtils.release(connection,statement,resultSet);
        }
    }
}

结果：

 

 

PreparedStatement：

package jdbc.TestDemo;

import jdbc.utils.JdbcUtils;

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class TestInsertP {
    public static void main(String[] args) {
        Connection connection =null;
        PreparedStatement ps = null;
        ResultSet resultSet = null;
        try {
             connection = JdbcUtils.getConnection();
             String sql = "insert into user (`id`,`username`,`password`) values(?,?,?)";
             ps = connection.prepareStatement(sql);  //预编译SQL，先写sql 然后不执行
            ps.setInt(1,4);
            ps.setString(2,"王芳");
            ps.setString(3,"12222");

            int i = ps.executeUpdate();
            if(i>0){
                System.out.println("插入成功");
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }finally {
            JdbcUtils.release(connection,ps,null);
        }
    }
}

结果：