`
zhaonjtu
  • 浏览: 131126 次
  • 性别: Icon_minigender_1
社区版块
存档分类
最新评论

PreparedStatement的用法(转)

SQLFlashJDBCMicrosoft虚拟机 
阅读更多
jdbc(java database connectivity，java数据库连接)的api中的主要的四个类之一的java.sql.statement要求开发者付出大量的时间和精力。在使用statement获取jdbc访问时所具有的一个共通的问题是输入适当格式的日期和时间戳：2002-02-05 20:56 或者 02/05/02 8:56 pm。
通过使用java.sql.preparedstatement，这个问题可以自动解决。一个preparedstatement是从java.sql.connection对象和所提供的sql字符串得到的，sql字符串中包含问号（?），这些问号标明变量的位置，然后提供变量的值，最后执行语句，例如：
stringsql = "select * from people p where p.id = ? and p.name = ?";
preparedstatement ps = connection.preparestatement(sql);
ps.setint(1,id);
ps.setstring(2,name);
resultset rs = ps.executequery();
使用preparedstatement的另一个优点是字符串不是动态创建的。下面是一个动态创建字符串的例子：
stringsql = "select * from people p where p.i = "+id;

这允许jvm（javavirtual machine，java虚拟机）和驱动/数据库缓存语句和字符串并提高性能。
preparedstatement也提供数据库无关性。当显示声明的sql越少，那么潜在的sql语句的数据库依赖性就越小。
由于preparedstatement具备很多优点，开发者可能通常都使用它，只有在完全是因为性能原因或者是在一行sql语句中没有变量的时候才使用通常的statement。
一个完整的preparedstatement的例子：
java 代码
  1. package jstarproject;   
  2. import java.sql.*;   
  3. public class mypreparedstatement {   
  4. private final string db_driver="com.microsoft.jdbc.sqlserver.sqlserverdriver";   
  5. private final string url = "jdbc:microsoft:sqlserver://127.0.0.1:1433;databasename=pubs";   
  6. public mypreparedstatement()    
  7. {   
  8. }   
  9. public void query() throws sqlexception{   
  10. connection conn = this.getconnection();   
  11. string strsql = "select emp_id from employee where emp_id = ?";   
  12. preparedstatement pstmt = conn.preparestatement(strsql);   
  13. pstmt.setstring(1,"pma42628m");   
  14. resultset rs = pstmt.executequery();   
  15.   
  16. while(rs.next()){   
  17. string fname = rs.getstring("emp_id");   
  18. system.out.println("the fname is " + fname);   
  19. }   
  20. rs.close();   
  21. pstmt.close();   
  22. conn.close();   
  23. }   
  24. private connection getconnection() throws sqlexception{   
  25. // class.   
  26. connection conn = null;   
  27. try {   
  28. class.forname(db_driver);   
  29. conn = drivermanager.getconnection(url,"sa","sa");   
  30. }   
  31. catch (classnotfoundexception ex) {}   
  32. return conn;   
  33. }   
  34. //main   
  35. public static void main(string[] args) throws sqlexception {   
  36. mypreparedstatement jdbctest1 = new mypreparedstatement();   
  37. jdbctest1.query();   
  38. }   
  39. }   


为什么要始终使用PreparedStatement代替Statement?为什么要始终使用PreparedStatement代替Statement?


在JDBC应用中,如果你已经是稍有水平开发者,你就应该始终以PreparedStatement代替Statement.也就是说,在任何时候都不要使用Statement.
基于以下的原因:
一.代码的可读性和可维护性.
虽然用PreparedStatement来代替Statement会使代码多出几行,但这样的代码无论从可读性还是可维护性上来说.都比直接用Statement的代码高很多档次:

java 代码
  1. stmt.executeUpdate("insert into tb_name (col1,col2,col2,col4) values ('"+var1+"','"+var2+"',"+var3+",'"+var4+"')");   
  2.   
  3. perstmt = con.prepareStatement("insert into tb_name (col1,col2,col2,col4) values (?,?,?,?)");   
  4. perstmt.setString(1,var1);   
  5. perstmt.setString(2,var2);   
  6. perstmt.setString(3,var3);   
  7. perstmt.setString(4,var4);   
  8. perstmt.executeUpdate();  


不用我多说,对于第一种方法.别说其他人去读你的代码,就是你自己过一段时间再去读,都会觉得伤心.

二.PreparedStatement尽最大可能提高性能.
每一种数据库都会尽最大努力对预编译语句提供最大的性能优化.因为预编译语句有可能被重复调用.所以语句在被DB的编译器编译后的执行代码被缓存下来,那么下次调用时只要是相同的预编译语句就不需要编译,只要将参数直接传入编译过的语句执行代码中(相当于一个涵数)就会得到执行.这并不是说只有一个Connection中多次执行的预编译语句被缓存,而是对于整个DB中,只要预编译的语句语法和缓存中匹配.那么在任何时候就可以不需要再次编译而可以直接执行.而statement的语句中,即使是相同一操作,而由于每次操作的数据不同所以使整个语句相匹配的机会极小,几乎不太可能匹配.比如:
insert into tb_name (col1,col2) values ('11','22');
insert into tb_name (col1,col2) values ('11','23');
即使是相同操作但因为数据内容不一样,所以整个个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句编译后的执行代码缓存.

当然并不是所以预编译语句都一定会被缓存,数据库本身会用一种策略,比如使用频度等因素来决定什么时候不再缓存已有的预编译结果.以保存有更多的空间存储新的预编译语句.

三.最重要的一点是极大地提高了安全性.

即使到目前为止,仍有一些人连基本的恶义SQL语法都不知道.
String sql = "select * from tb_name where name= '"+varname+"' and passwd='"+varpasswd+"'";
如果我们把[' or '1' = '1]作为varpasswd传入进来.用户名随意,看看会成为什么?

select * from tb_name = '随意' and passwd = '' or '1' = '1';
因为'1'='1'肯定成立,所以可以任何通过验证.更有甚者:
把[';drop table tb_name;]作为varpasswd传入进来,则:
select * from tb_name = '随意' and passwd = '';drop table tb_name;有些数据库是不会让你成功的,但也有很多数据库就可以使这些语句得到执行.

而如果你使用预编译语句.你传入的任何内容就不会和原来的语句发生任何匹配的关系.只要全使用预编译语句,你就用不着对传入的数据做任何过虑.而如果使用普通的statement,有可能要对drop,;等做费尽心机的判断和过虑.

上面的几个原因,还不足让你在任何时候都使用PreparedStatement吗?
分享到：
| java.util包(转贴)
评论
5 楼 skeely1234 2012-10-15  
精辟，学习了，感谢分享
4 楼 jialeadmin 2011-10-08  
不错啊 。。。
3 楼 tudeju 2011-07-27  
学习了，受用。呵呵
还是收藏一下。
2 楼 hhhsir 2009-02-19  
hhhsir 写道




[img]" />


引用

引用

引用

引用
[u][/u]
引用


1 楼 hhhsir 2009-02-19   
引用
引用
引用
引用
[u][/u]
引用





    
    
  


  

    
发表评论

            
   您还没有登录,请您登录后再发表评论 

      

  

  





  

    
相关推荐

    
    
    
        
        
    
          
    
            
            
    
              
                
                
                
    
                  
    
                    
                      PreparedStatement详细用法
                    
                  
    
                  
    ### PreparedStatement的详细用法及其优势  #### 一、概述  `PreparedStatement`是Java JDBC API中的一个关键类，用于执行预编译的SQL语句。它继承自`Statement`类，并在其基础上提供了更多的功能和优化。在Java应用...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      PreparedStatement 详细用法
                    
                  
    
                  
    本文将详细介绍`PreparedStatement`的使用方法，主要面向Java服务器页面（JSP）的初学者。  #### 二、准备工作  为了能够使用`PreparedStatement`，首先需要确保已经安装了MySQL数据库，并且在项目中引入了MySQL ...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      PreparedStatement
                    
                  
    
                  
    jdbc2.0版 PreparedStatement接口的用法
    
                
    
                
              
                
                
                
    
                  
    
                    
                      PreparedStatement 向数据库插入时间方法
                    
                  
    
                  
    例如，当我们尝试使用`java.util.Date`对象将日期传递给`PreparedStatement`的`setDate()`方法时，程序可能会抛出异常。这是因为`setDate()`方法期望的是`java.sql.Date`类型的参数。  #### 解决方案  针对这个问题...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      练习3：使用PreparedStatement插入宠物信息.zip
                    
                  
    
                  
    3. **设置参数**：使用PreparedStatement的`setXXX()`方法（如`setString()`, `setInt()`等）设置每个占位符的值。这些方法的索引从1开始，对应于SQL语句中的问号位置。例如：  ```java  pstmt.setString(1, "Fluffy...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      PreparedStatement接口
                    
                  
    
                  
    NULL 博文链接：https://chaoyi.iteye.com/blog/2088080
    
                
    
                
              
                
                
                
    
                  
    
                    
                      关于PreparedStatement插入Date类型值的方法.txt
                    
                  
    
                  
    当在Java应用程序中使用`PreparedStatement`向数据库插入日期数据时，选择合适的方法非常重要。对于只包含日期而无时间的部分，应使用`setDate()`方法；而对于包含具体时间信息的日期，则推荐使用`setTimestamp()`...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      JDBC基础教程之PreparedStatement.doc
                    
                  
    
                  
    2. **准备SQL语句**：接着，使用`Connection`对象的`prepareStatement(String sql)`方法创建一个`PreparedStatement`对象，其中`sql`参数是包含占位符的SQL语句。   ```java  Connection con = DriverManager.get...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      connection 和 preparedstatement 的关闭问题
                    
                  
    
                  
    本文将详细介绍`Connection`和`PreparedStatement`的使用时机与关闭策略，帮助开发者更好地理解和掌握这两者的使用方法。  #### Connection（连接）  - **定义**：`Connection`接口是Java中所有数据库操作的基础。它...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      PreparedStatement和Statement
                    
                  
    
                  
    这个项目可能包含了使用`PreparedStatement`和`Statement`的例子，通过分析这些代码，你可以更好地理解两者的应用和区别。  总结，`PreparedStatement`和`Statement`在Java数据库操作中各有优势。在追求性能、安全性...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      JDBC中PreparedStatement接口提供的execute、executeQuery和executeUpdate之间的区别及用法
                    
                  
    
                  
    JDBC 中 PreparedStatement 接口提供的 execute、executeQuery 和 executeUpdate 之间的区别及用法  JDBC 中的 PreparedStatement 接口提供了三种执行 SQL 语句的方法：executeQuery、executeUpdate 和 execute。...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      使用PreparedStatement的setString方法会自动在varchar后面补空格
                    
                  
    
                  
    此实例意在解决预处理命令PreparedStatement的setString()方法，在sql2008数据库中写入数据时，会自动补足空格的问题， 同时此实例也解决了当存在自动补足空格的问题时，使用nvarchar可以使查找出来的数据与原输入...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      Java数据库连接PreparedStatement的使用详解
                    
                  
    
                  
    下面将详细介绍 PreparedStatement 的使用方法和优点。  PreparedStatement 的定义  PreparedStatement 是一种预编译的 SQL 语句，用于执行数据库的 CRUD 操作。它可以将 SQL 语句与参数分离，提高了执行效率和安全...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      JSP中的PreparedStatement对象操作数据库的使用教程
                    
                  
    
                  
    这篇文章将详细介绍PreparedStatement对象在JSP中操作数据库的使用方法，包括创建对象、传递参数、以及确保参数数据类型一致性等关键知识点。  首先，PreparedStatement实例可以包含预编译的SQL语句，这意味着SQL...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      使用PreparedStatement访问数据库
                    
                  
    
                  
    2. **设置参数值**：使用`PreparedStatement`对象提供的`setXXX()`方法（如`setString()`, `setInt()`, `setDate()`等）来设定问号占位符的值。这些方法的第一个参数是占位符的位置索引（从1开始），第二个参数是...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      Java使用PreparedStatement接口及ResultSet结果集的方法示例
                    
                  
    
                  
    我们可以这样使用`PreparedStatement`和`ResultSet`来处理查询结果：  ```java public static List<CompMember> getAllMembers() throws Exception {  Connection conn = null;  PreparedStatement pstmt = null;  ...
    
                
    
                
              
                
                
                
    
                  
    
                    
                      【IT十八掌徐培成】Java基础第23天-02.sql注入-preparedstatement-批量插入.zip
                    
                  
    
                  
    我们可以通过调用addBatch()方法来添加一组要插入的数据，然后使用executeBatch()方法一次性将它们全部插入数据库。这种方式减少了与数据库的交互次数，从而提高了整体的执行速度。  批量插入的使用步骤大致如下： 1...
    
                
    
                
              
            
    
          
    
        
    
    

  





  
    Magicbox
  













      

      
        

          

            

              

                

                
              

            

            


            

          

        

            
    

    
    
  

  



   Global site tag (gtag.js) - Google Analytics