关于PreparedStatement原理的理解

详细介绍：https://www.zybuluo.com/stefanlu/note/254899

参考链接：http://www.xuebuyuan.com/2021136.html

代码：

public class Main {
    public static void main(String[] args){
        Connection connection = null;
        PreparedStatement preparedStatement = null;
        ResultSet resultSet = null;
        try {
            Class.forName("com.mysql.jdbc.Driver");
            connection = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/user", "xxx", "xxx");
            String sql = "SELECT ROUND(member_price,10) as member_price  from member_price WHERE `month` = '2015-11' and data_type = ?";
            preparedStatement = connection.prepareStatement(sql);
            preparedStatement.setInt(1, 1);
            resultSet = preparedStatement.executeQuery();
            while(resultSet.next()){
                System.out.println("string: " + resultSet.getString("member_price"));  //通过String类型获取
                System.out.println("float: " + resultSet.getFloat("member_price"));    //通过Long类型获取
                System.out.println("============>next");
            }
        }catch (Exception e){
            e.printStackTrace();
        }finally {
            try {
                if(resultSet != null){
                    resultSet.close();
                }
                if(preparedStatement != null){
                    preparedStatement.close();
                }
                if(connection != null){
                    connection.close();
                }
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }

    }
}

 执行图解：

1. 使用PreparedStatement但不使用预编译

2. 使用PreparedStatement并使用预编译

3. 使用PreparedStatement，使用预编译和缓存

总结：
　　java中PreparedStatement的好处：
　　1. 代码阅读性更高
　　2. 性能更好(mysql Prepared Statements语法)，前提是必须声明使用预编译和缓存
　　3. 更安全(mysql Prepared Statements语法)，会给每个参数都加单引号
　　mysql的Prepared Statements语法提供的好处：
　　1. 缓存SQL来提高性能
　　2. 参数化防止SQL注入

 mysql中执行sql语句：

select *　from user where id = '1 or 1=1';

如果id字段是int,bigint或数字类型，则mysql会将上述查询语句翻译为: select * from user where id = 1 并给出一个warning

如果id字段是char或varchar类型，则mysql会将'1 or 1=1'来进行匹配，查看id有没有等于'1 or 1=1'的。

 

PreparedStatement防SQL注入的原理就是解析参数的每个字符，遇到特殊字符('或“就转义)，并在参数的最前边和最后变分别添加一个单引号，利用的也是MySQL的上述特性。