码迷,mamicode.com
首页 > 其他好文 > 详细

Statement与PreparedStatement

时间:2019-02-21 16:10:44      阅读:152      评论:0      收藏:0      [点我收藏+]

标签:预编译   insert   into   sql语句   注入攻击   rest   exec   代码   设计   

Statement

用于通用查询,能批处理

 

PreparedStatement

用于执行参数化查询,能批处理

什么是参数化查询?

指在设计与数据库链接并访问数据时,在需要填入数值或数据的地方,使用参数 (Parameter) 来给值,这个方法目前已被视为最有效可预防SQL注入攻击的防御方式。

而且参数化有利于代码的可读性和可维护性

eg:

使用statement

stmt.executeUpdate(“insert into tb_name (col1,col2,col2,col4) values (‘”+var1+”’,’”+var2+”’,”+var3+”,’”+var4+”’)”);//stmt是Statement对象实例

使用PreparedStatement

perstmt = con.prepareStatement(“insert into tb_name (col1,col2,col2,col4) values (?,?,?,?)”);
perstmt.setString(1,var1);
perstmt.setString(2,var2);
perstmt.setString(3,var3);
perstmt.setString(4,var4);
perstmt.executeUpdate(); //prestmt是 PreparedStatement 对象实例 

 

------------------------------------------------------------------------

 

什么时候用PreparedStatement?

多次请求推荐用PreparedStatement,数据库系统会对sql语句进行预编译处理(如果JDBC驱动支持的话),预处理语句将被预先编译好,这条预编译的sql查询语句能在将来的查询中重用,这样一来,在多次请求的情况下它比Statement对象生成的查询速度更快

 

相对的,一次请求可用Statement

PreparedStatement的第一次执行消耗是很高的,假设我使用PreparedStatement的方式来执行一个针对Employee表的查询, JDBC驱动会先发送一个网络请求去解析数据、优化查询, 而当执行时会则会产生另一个网络请求。

如果使用Statement.,一个查询只会产生一次网络到数据库的通讯。

 

Statement与PreparedStatement

标签:预编译   insert   into   sql语句   注入攻击   rest   exec   代码   设计   

原文地址:https://www.cnblogs.com/yanze/p/10102755.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!