Java中PreparedStatement与Statement的总结

概要：

    PreparedStatement 接口继承自 Statement 接口，PreparedStatement 比普通Statement 对象使用起来更加灵活，更有效率。

一、PreparedStatement与Statement相比，具有什么优势？

   1、相对比较安全，可以防止sql注入。

   2、有预编译功能，相同操作批量数据效率较高。

   3、使用PreparedStatement 接口，继承自 Statement接口比Statement对象使用起来更加灵活，更有效率。

二、实例代码

import java.sql.*;
import java.util.Scanner;
import org.apache.log4j.Logger;
/**
* 使用 Statement 安全性差，存在 SQL 注入隐患。
* @author CSEE
*/
public class Test6 {
private static Logger logger = Logger.getLogger(Test6.class.getName());
public static void main(String[] args) {
Connection conn = null;
Statement stmt = null;
ResultSet rs = null;
//0、根据控制台提示输入用户账号和密码
Scanner input = new Scanner(System.in);
System.out.println("\t 宠物主人登录");
System.out.print("请输入姓名：");
String name=input.next();
System.out.print("请输入密码：");
String password=input.next();
// 1、加载驱动
try {
Class.forName("com.microsoft.sqlserver.jdbc.SQLServerDriver");
} catch (ClassNotFoundException e) {
logger.error(e);
}
try {
// 2、建立连接
conn = DriverManager.getConnection(
"jdbc:sqlserver://localhost:1433;DatabaseName=epet",
"jbit", "bdqn");
// 3 、判断宠物主人登录是否成功
stmt = conn.createStatement();
String sql="select * from master where name='"+name+
"' and password='"+password+"'";
System.out.println(sql);
rs = stmt.executeQuery(sql);
if(rs.next())
System.out.println(" 登录成功，欢迎您！");
else
System.out.println(" 登录失败，请重新输入！");
} catch (SQLException e) {
logger.error(e);
} finally {
// 4、关闭 Statement 和数据库连接
try {
if (null != stmt) {
stmt.close();
}
if (null != conn) {
conn.close();
}
} catch (SQLException e) {
logger.error(e);
}
}
}
}

     注：这就是网上典型的 SQL 注入攻击，原因就在于使用 Statement 接口方法时要进行 SQL
语 句 的 拼 接 ， 不 仅 拼 接 繁 琐 麻 烦 ， 容 易 出 错 ， 还 存 在 安 全 漏 洞 。 而 使 用
PreparedStatement 接口就不存在这个问题。

三、PreparedStatement 比 Statement 好在哪里？
 提高了代码的可读性和可维护性。
         虽然使用 PreparedStatement 来代替 Statement 会多几行代码，但避免了繁琐
麻烦又容易出错的 SQL 语句拼接，提高了代码的可读性和可维护性。
 提高了 SQL 语句执行的性能。
         创建 Statement 对象时不使用 SQL 语句做参数，不会解析和编译 SQL 语句，每次
调用方法执行 SQL 语句时都要进行 SQL 语句解析和编译操作，即操作相同仅仅是数
据不同。
        创建 PreparedStatement 对象时使用带占位符的 SQL 语句做参数，会解析和编译
该 SQL 语句，在通过 setXxx 方法给占位符赋值后执行 SQL 语句时无需再解析和编
译 SQL 语句，直接执行即可。多次执行相同操作可以大大提高性能。
 提高了安全性。
         PreparedStatement 使用预编译语句，传入的任何数据都不会和已经预编译的 SQL
语句进行拼接，避免了 SQL 注入攻击。